为 Blob 版本配置不可变性策略

若要在 Azure 门户中创建存储帐户时启用对版本级不变性的支持，请执行以下步骤：

1. 在 Azure 门户中，导航到“存储帐户”页。

2. 选择“创建”按钮以创建一个新帐户。

3. 填写“基本信息”选项卡。

4. 在“数据保护”选项卡上的“访问控制”下，选择“启用版本级别不可变支持”。 选中此框时，也会自动选中“为 blob 启用版本控制”。

5. 选择“查看 + 创建”以验证你的帐户参数并创建存储帐户。

   

创建存储帐户后，你可以为该帐户配置默认的版本级别策略。 有关详细信息，请参阅配置基于时间的默认保留策略。

空值

若要在使用 Azure CLI 创建存储帐户时启用对版本级不变性的支持，请使用指定的参数调用 az storage account create 命令。 可以选择同时为存储帐户指定默认策略，如以下示例所示。 请记得将尖括号中的占位符替换为你自己的值：

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --enable-alw \
    --immutability-period-in-days 90 \
    --immutability-state unlocked \
    --allow-protected-append-writes true

若要在 Azure 门户中创建支持版本级不可变性的容器，请执行以下步骤：

1. 在 Azure 门户中导航到你的存储帐户的“容器”页，然后选择“添加” 。

2. 在“新建容器”对话框中提供容器的名称，然后展开“高级”部分 。

3. 选择“启用版本级不可变性支持”以便为容器启用版本级不可变性。

   

要使用 PowerShell 创建支持版本级不可变性的容器，请先安装 Az.Storage 模块 预览版 3.12.0 或更高版本。

接下来，使用 -EnableImmutableStorageWithVersioning 参数调用 New-AzRmStorageContainer 命令，如以下示例所示。 请记得将尖括号中的占位符替换为你自己的值：

# Create a container with version-level immutability support.
$container = New-AzRmStorageContainer -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account> `
    -Name <container> `
    -EnableImmutableStorageWithVersioning

# Verify that version-level immutability support is enabled for the container
$container.ImmutableStorageWithVersioning

若要使用 Azure CLI 创建支持版本级不可变性的容器，请先安装 Azure CLI 2.27 或更高版本。 有关安装 Azure CLI 的详细信息，请参阅如何安装 Azure CLI。

接下来，调用 az storage container-rm create 命令，指定 --enable-vlw 参数。 请记得将尖括号中的占位符替换为你自己的值：

# Create a container with version-level immutability support.
az storage container-rm create \
    --name <container> \
    --storage-account <storage-account> \
    --resource-group <resource-group> \
    --enable-vlw

# Verify that version-level immutability support is enabled for the container
az storage container-rm show \
    --storage-account <storage-account> \
    --name <container> \
    --query '[immutableStorageWithVersioning.enabled]' \
    --output tsv

若要在 Azure 门户中迁移容器以支持版本级不可变性策略，请执行以下步骤：

1. 导航到所需的容器。

2. 在容器的上下文菜单中，选择“访问策略”。

3. 在“不可变 Blob 存储”下，选择“添加策略” 。

4. 对于“策略类型”字段，请选择“基于时间的保留”并指定保留间隔。

5. 选择“启用版本级不可变性”。

6. 选择“确定”以创建具有指定保留期间隔的容器级策略，然后开始迁移到版本级不可变性支持。

   

执行迁移操作时，容器上的策略范围显示为容器。 在容器迁移过程中，不允许任何与管理版本级别不可变性策略相关的操作。 在迁移期间，对 blob 数据的其他操作将正常进行。

迁移完成后，容器上的策略范围显示为版本。 显示的策略是容器上的默认策略，该策略自动应用于随后在容器中创建的所有 blob 版本。 通过为该版本指定自定义策略，可以在任何版本上替代默认策略。

要使用 PowerShell 迁移容器以支持版本级不可变存储，首先要确保该容器存在容器级基于时间的保留策略。 若要创建一个策略，请调用 Set-AzRmStorageContainerImmutabilityPolicy。

Set-AzRmStorageContainerImmutabilityPolicy -ResourceGroupName <resource-group> `
   -StorageAccountName <storage-account> `
   -ContainerName <container> `
   -ImmutabilityPeriod <retention-interval-in-days>

接下来，调用 Invoke-AzRmStorageContainerImmutableStorageWithVersioningMigration 命令以迁移容器。 添加 -AsJob 参数以异步运行该命令。 建议异步运行该操作，因为迁移可能需要一些时间才能完成。

$migrationOperation = Invoke-AzRmStorageContainerImmutableStorageWithVersioningMigration `
    -ResourceGroupName <resource-group> `
    -StorageAccountName <storage-account> `
    -Name <container> `
    -AsJob

若要检查长时间运行的操作的状态，请阅读该操作的 JobStateInfo.State 属性。

$migrationOperation.JobStateInfo.State

在尝试迁移到版本级不可变性时，如果容器尚无基于时间的保留策略，则操作将失败。 如果由于不存在容器级策略而导致操作失败，以下示例将检查 JobStateInfo.State 属性的值并显示错误消息。

if ($migrationOperation.JobStateInfo.State -eq "Failed") {
Write-Host $migrationOperation.Error
}
The container <container-name> must have an immutability policy set as a default policy
before initiating container migration to support object level immutability with versioning.

迁移完成后，检查操作的 Output 属性，看看是否启用了版本级不可变性支持。

$migrationOperation.Output

有关 PowerShell 作业的详细信息，请参阅在 PowerShell 作业中运行 Azure PowerShell cmdlet。

要使用 Azure CLI 迁移容器以支持版本级不可变存储，首先要确保该容器存在容器级基于时间的保留策略。 若要创建一个策略，请调用 az storage container immutability-policy create。

az storage container immutability-policy create \
    --resource-group <resource-group> \
    --account-name <storage-account> \
    --container-name <container> \
    --period <retention-interval-in-days>

接下来，调用 az storage container-rm migrate-vlw 命令以迁移容器。 添加 --no-wait 参数以异步运行该命令。 建议异步运行该操作，因为迁移可能需要一些时间才能完成。

az storage container-rm migrate-vlw \
    --resource-group <resource-group> \
    --storage-account <storage-account> \
    --name <container> \
    --no-wait

若要检查长时间运行的操作的状态，请读取 migrationState 属性的值。

az storage container-rm show \
    --storage-account <storage-account> \
    --name <container> \
    --query '[immutableStorageWithVersioning.migrationState]' \
    --output tsv

若要为 Azure 门户中的存储帐户配置默认的版本级不可变性策略，请执行以下步骤：

1. 在 Azure 门户中导航到存储帐户。

2. 在“数据管理”下，选择“数据保护”。

3. 在“数据保护”页面上，找到“访问控制”部分。 如果创建存储帐户时支持版本级不变性，则“访问控制”部分中将会出现“管理策略”按钮。

   

4. 选择“管理策略”按钮以显示“管理版本级不变性策略”对话框。

5. 为存储帐户添加默认的基于时间保留策略。

   

若要为 Azure 门户中的容器配置默认的版本级不可变性策略，请执行以下步骤：

1. 在 Azure 门户中导航到“容器”页，找到要对其应用该策略的容器。

2. 在容器的上下文菜单中，选择“访问策略”。

3. 在“访问策略”对话框中的“不可变 Blob 存储”部分下，选择“添加策略” 。

4. 选择“基于时间的保留策略”并指定保留间隔。

5. 选择是否允许受保护的追加写入。

   “追加 Blob”选项使工作负荷能够使用追加块操作将新的数据块添加到追加 Blob 的末尾。

   若要详细了解这些选项，请参阅允许受保护的追加 Blob 写入。

   

若要使用 PowerShell 为容器配置默认的版本级不可变性策略，请调用 Set-AzRmStorageContainerImmutabilityPolicy 命令。

Set-AzRmStorageContainerImmutabilityPolicy -ResourceGroupName <resource-group> `
   -StorageAccountName <storage-account> `
   -ContainerName <container> `
   -ImmutabilityPeriod <retention-interval-in-days> `
   -AllowProtectedAppendWrite $true

若要使用 Azure CLI 为容器配置默认的版本级不可变性策略，请调用 az storage container immutability-policy create 命令。

az storage container immutability-policy create \
    --account-name <storage-account> \
    --container-name <container> \
    --period <retention-interval-in-days> \
    --allow-protected-append-writes true

导航到某个容器时，Azure 门户会显示 Blob 列表。 显示的每个 Blob 表示当前 Blob 版本。 通过打开 blob 的上下文菜单并选择“查看以前的版本”，可访问以前版本的列表。

针对当前 Blob 版本配置保留策略

若要针对当前 Blob 版本配置基于时间的保留策略，请执行以下步骤：

1. 导航到包含目标 Blob 的容器。

2. 在 blob 的上下文菜单中，选择“访问策略”。 如果已为先前版本配置了基于时间的保留策略，该策略会出现在“访问策略”对话框中。

3. 在“访问策略”对话框中的“不可变 Blob 版本”部分下，选择“添加策略” 。

4. 选择“基于时间的保留策略”并指定保留间隔。

5. 选择“确定”以将策略应用于当前 Blob 版本。

   

可以查看 Blob 的属性，以确定是否对当前版本启用了某个策略。 选择该 Blob，然后导航到“概述”选项卡并找到“版本级不可变性策略”属性 。 如果启用了某个策略，“保留期”属性将显示该策略的过期日期和时间。 请记住，可为当前版本配置策略，也可以从 Blob 的父容器继承策略（如果默认策略已生效）。

针对先前的 Blob 版本配置保留策略

还可以针对先前的 blob 版本配置基于时间的保留策略。 先前的版本始终是不可变的，因为无法修改它。 不过，可以删除先前的版本。 基于时间的保留策略在生效的情况下可以防止被删除。

若要针对先前的 Blob 版本配置基于时间的保留策略，请执行以下步骤：

1. 导航到包含目标 Blob 的容器。

2. 选择该 Blob，然后导航到“版本”选项卡。

3. 找到目标版本，然后在版本的上下文菜单中选择“访问策略”。 如果已为先前版本配置了基于时间的保留策略，该策略会出现在“访问策略”对话框中。

4. 在“访问策略”对话框中的“不可变 Blob 版本”部分下，选择“添加策略” 。

5. 选择“基于时间的保留策略”并指定保留间隔。

6. 选择“确定”以将策略应用于当前 Blob 版本。

   

若要使用 PowerShell 在 blob 版本上配置基于时间的保留策略，请调用 Set-AzStorageBlobImmutabilityPolicy 命令。

以下示例演示如何在 blob 的当前版本上配置解锁的策略。 请记得将尖括号中的占位符替换为你自己的值：

# Get the storage account context
$ctx = (Get-AzStorageAccount `
        -ResourceGroupName <resource-group> `
        -Name <storage-account>).Context

Set-AzStorageBlobImmutabilityPolicy -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -ExpiresOn "2021-09-01T12:00:00Z" `
    -PolicyMode Unlocked

若要使用 Azure CLI 在 blob 版本上配置基于时间的保留策略，请首先安装 Azure CLI 版本 2.29.0 或更高版本。

接下来，请调用 az storage blob immutability-policy set 命令来配置基于时间的保留策略。 以下示例演示如何在 blob 的当前版本上配置解锁的策略。 请记得将尖括号中的占位符替换为你自己的值：

az storage blob immutability-policy set \
    --expiry-time 2021-09-20T08:00:00Z \
    --policy-mode Unlocked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

若要在 Azure 门户中修改已解锁的基于时间的保留策略，请执行以下步骤：

1. 查找目标容器或版本。 在容器或版本的上下文菜单中，选择“访问策略”。

2. 查找现有的未锁定不可变性策略。 在上下文菜单中，从菜单中选择“编辑”。

   

3. 提供新的策略过期日期和时间。

若要删除未锁定的策略，请从上下文菜单中选择“删除”。

若要使用 PowerShell 修改未锁定的基于时间的保留策略，请使用策略到期的新日期和时间对 blob 版本调用 Set-AzStorageBlobImmutabilityPolicy 命令。 请记得将尖括号中的占位符替换为你自己的值：

$containerName = "<container>"
$blobName = "<blob>"

# Get the previous blob version.
$blobVersion = Get-AzStorageBlob -Container $containerName `
    -Blob $blobName `
    -VersionId "2021-08-31T00:26:41.2273852Z" `
    -Context $ctx

# Extend the retention interval by five days.
$blobVersion = $blobVersion |
    Set-AzStorageBlobImmutabilityPolicy -ExpiresOn (Get-Date).AddDays(5) `

# View the new policy parameters.
$blobVersion.BlobProperties.ImmutabilityPolicy

若要删除未锁定的保留策略，请调用 Remove-AzStorageBlobImmutabilityPolicy 命令。

$blobVersion = $blobVersion | Remove-AzStorageBlobImmutabilityPolicy

若要使用 PowerShell 修改已解锁的基于时间的保留策略，请使用新的策略到期日期和时间对该 blob 版本调用 az storage blob immutability-policy set 命令。 请记得将尖括号中的占位符替换为你自己的值：

az storage blob immutability-policy set \
    --expiry-time 2021-10-0T18:00:00Z \
    --policy-mode Unlocked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

若要删除已解锁的保留策略，请调用 az storage blob immutability-policy delete 命令。

az storage blob immutability-policy delete \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

若要在 Azure 门户中锁定策略，请执行以下步骤：

1. 查找目标容器或版本。 在容器或版本的上下文菜单中，选择“访问策略”。

2. 在“不可变 Blob 版本”部分下，找到现有的已解锁策略。 从上下文菜单中选择“锁定策略”。

3. 确认要锁定该策略。

   

若要使用 PowerShell 锁定策略，请调用 Set-AzStorageBlobImmutabilityPolicy 命令并将 PolicyMode 参数设置为“Locked” 。

以下示例显示如何通过指定对未锁定策略有效的相同保留期间隔来锁定策略。 也可在锁定策略时更改到期时间。

# Get the previous blob version.
$blobVersion = Get-AzStorageBlob -Container $containerName `
    -Blob $blobName `
    -VersionId "2021-08-31T00:26:41.2273852Z" `
    -Context $ctx

$blobVersion = $blobVersion |
    Set-AzStorageBlobImmutabilityPolicy `
        -ExpiresOn $blobVersion.BlobProperties.ImmutabilityPolicy.ExpiresOn `
        -PolicyMode Locked

若要使用 PowerShell 来锁定策略，请调用 az storage blob immutability-policy set 命令并将 --policy-mode 参数设置为“Locked”。 也可在锁定策略时更改到期时间。

az storage blob immutability-policy set \
    --expiry-time 2021-10-0T18:00:00Z \
    --policy-mode Locked \
    --container <container> \
    --name <blob-version> \
    --account-name <storage-account> \
    --auth-mode login

若要使用 Azure 门户配置 blob 版本上的法定保留，请执行以下步骤：

1. 找到目标版本，这可能是 Blob 的当前版本或先前版本。 在目标版本的上下文菜单中，选择“访问策略”。

2. 在“不可变 Blob 版本”部分下，选择“添加策略” 。

3. 选择“法定保留”作为策略类型，然后选择“确定”以应用法定保留 。

下图显示了一个当前 Blob 版本，为其配置了基于时间的保留策略和法定保留。

若要清除法定保留，请导航到“访问策略”对话，在上下文菜单中选择“删除”。

要使用 PowerShell 配置或清除 blob 版本上的法定保留，请调用 Set-AzStorageBlobLegalHold 命令。

# Set a legal hold
Set-AzStorageBlobLegalHold -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -EnableLegalHold

# Clear a legal hold
Set-AzStorageBlobLegalHold -Container <container> `
    -Blob <blob-version> `
    -Context $ctx `
    -DisableLegalHold

若要使用 Azure CLI 配置或清除 blob 版本上的法定保留，请调用 az storage blob set-legal-hold 命令。

# Set a legal hold
az storage blob set-legal-hold \
    --legal-hold \
    --container <container> \
    --name <blob-version> \
    --account-name <account-name> \
    --auth-mode login

# Clear a legal hold
az storage blob set-legal-hold \
    --legal-hold false \
    --container <container> \
    --name <blob-version> \
    --account-name <account-name> \
    --auth-mode login