Nota
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare ad accedere o modificare le directory.
L'accesso a questa pagina richiede l'autorizzazione. È possibile provare a modificare le directory.
Questo articolo descrive i ruoli predefiniti di Azure con privilegi minimi o le azioni di controllo degli accessi in base al ruolo necessarie per gestire un'assegnazione di attività di archiviazione.
Autorizzazione per gestire le assegnazioni di attività di archiviazione
Per creare un'assegnazione, è necessario assegnare l'identità al ruolo predefinito Collaboratore assegnazioni di attività di archiviazione oppure a un ruolo personalizzato che contiene le seguenti azioni di Controllo degli accessi in base al ruolo:
- Microsoft.Authorization/roleAssignments/write
- Microsoft.Authorization/roleAssignments/delete
- Microsoft.Storage/storageAccounts/reports/read
- Microsoft.Storage/storageAccounts/read
- Microsoft.Storage/storageAccounts/blobServices/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/read
- Microsoft.Storage/storageAccounts/storageTaskAssignments/write
- Microsoft.Storage/storageAccounts/storageTaskAssignments/delete
- Microsoft.Storage/storageAccounts/storageTaskAssignments/reports/read
Per informazioni su come creare un ruolo personalizzato, vedere Ruoli personalizzati di Azure.
Autorizzazione per un'attività per eseguire operazioni
Quando si crea un'assegnazione, è necessario scegliere un ruolo predefinito o personalizzato di Azure con l'autorizzazione necessaria per eseguire le operazioni specificate nell'account di archiviazione di destinazione o nel contenitore dell'account di archiviazione. Tale ruolo viene assegnato all'identità gestita del processo di archiviazione. È possibile scegliere solo i ruoli assegnati all'identità utente.
Il ruolo integrato raccomandato è Storage Actions Blob Data Operator. Questo è un ruolo appositamente creato per l'identità gestita dalle Azioni di Storage. Concede esattamente i permessi di data plane necessari per eseguire tutte le operazioni supportate dalle Azioni di Archiviazione oggi — inclusi cambi di livello, tag, scadenza, cancellazione, cancellazione, immutabilità e trattenuta legale — senza concedere un accesso più ampio ai tuoi dati.
Il ruolo Storage Actions Blob Data Operator concede i seguenti permessi:
| Autorizzazione | Type | Azione controllo degli accessi in base al ruolo |
|---|---|---|
Elenca contenitori; Leggere e creare contenitori (necessari per operazioni come SetBlobImmutabilityPolicy e SetBlobLegalHold) |
Action |
Microsoft.Storage/storageAccounts/blobServices/containers/read, Microsoft.Storage/storageAccounts/blobServices/containers/write |
| Leggi contenuti e proprietà del blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read |
| Modifica i blob (tier, scadenza, proprietà) | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write |
| Eliminare i blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| Aggiungi (crea) nuovi blob | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action |
| Lettura e scrittura dei tag blob index | Azione sui dati |
Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/read, Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| Eseguire operazioni con blob privilegiati (come undelete) | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action |
| Imposta politiche di immutabilità e clausole legali | Azione sui dati | Microsoft.Storage/storageAccounts/blobServices/containers/blobs/immutableStorage/runAsSuperUser/action |
Tip
Storage Actions Blob Data Operator è il ruolo raccomandato per l'identità gestita del compito di storage. Il ruolo di Storage Blob Data Owner copre anche tutte le operazioni eseguite dalle Azioni di Archiviazione ed è ancora supportato, ma concede permessi più ampi di quelli richiesto dalle Azioni di Archiviazione. Preferisci Storage Actions Blob Data Operator per nuove assegnazioni.
Se preferisci utilizzare un ruolo personalizzato per l'identità gestita del compito di storage, devi assicurarti che il tuo ruolo contenga le azioni RBAC necessarie per eseguire le operazioni definite nel compito. La tabella seguente mappa ogni operazione di Azioni di Storage alle azioni RBAC che un ruolo personalizzato deve includere.
Note
Per la maggior parte dei clienti, il ruolo integrato di Storage Actions Blob Data Operator descritto sopra è il percorso più semplice ed è preferito. La tabella per operazione qui sotto è pensata per le organizzazioni che devono comporre un ruolo personalizzato più compatto rispetto a quello fornito dal ruolo integrato.
| Autorizzazione | Azioni controllo degli accessi in base al ruolo per un ruolo personalizzato |
|---|---|
| SetBlobTier | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobExpiry | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobTags | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write |
| SetBlobImmutabilityPolicy | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |
| SetBlobLegalHold | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |
| EliminaBlob | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/delete |
| UndeleteBlob | Microsoft. Storage/storageAccounts/blobServices/containers/blobs/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/writeMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/readMicrosoft.Storage/storageAccounts/blobServices/containers/blobs/tags/writeMicrosoft.Storage/storageAccounts/blobServices/containers/write |