Azure角色分配条件格式和语法

条件是一项额外检查，你可选择将其添加到角色分配中，以提供更精细的访问控制。 例如，为了读取对象，你可添加要求对象具有特定标记的条件。 本文介绍角色分配条件的格式和语法。

条件格式

为了更好地了解角色分配条件，最好是先了解格式。

简单条件

最基本的条件包含目标操作和表达式。 操作是用户可以针对资源类型执行的操作。 表达式是求值结果为 true 或 false 的语句，此求值结果确定了是否允许执行相应的操作。

下面显示了简单条件的格式。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

以下条件包含“读取 Blob”操作。 该表达式检查容器名称是否为 blobs-example-container。

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

条件的求值方式

如果用户尝试执行角色分配中并非 <action> 的操作，则 !(ActionMatches) 的求值结果为 true，并且整个条件的求值结果也为 true，以允许执行该操作。

如果用户尝试执行角色分配中的 <action>，则 !(ActionMatches) 的求值结果为 false，因此将进行表达式求值。 如果表达式求值结果为 true，则整个条件的求值结果将为 true，以允许执行 <action>。 否则不允许执行 <action>。

以下伪代码演示了读取此条件的另一种方式。

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

子操作

某些操作具有子操作。 例如，Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read 数据操作具有子操作“列出 blob”。 包含子操作的条件采用以下格式。

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

多个操作

一个条件可以包含当其求值结果为 true 时你要允许执行的多个操作。 如果为单个条件选择多个操作，则可为条件选择的特性可能较少，因为这些特性必须在所选操作中可用。

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

多个表达式

一个条件可以包含多个表达式。 可以根据运算符针对多个值检查特性。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

多个条件

还可以组合多个条件以将多个操作指定为目标。

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

条件语法

下面显示了角色分配条件的语法。

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

操作

目前，可将条件添加到包含 Blob 存储或队列存储数据操作的内置或自定义角色分配。 其中包括以下内置角色：

• 存储 Blob 数据参与者
• 存储 Blob 数据所有者
• 存储 Blob 数据读者
• 存储队列数据参与者
• 存储队列数据消息处理器
• 存储队列数据消息发送方
• 存储队列数据读取者

有关可在条件中使用的存储操作列表，请参阅：

• Azure角色分配条件Azure Blob Storage
• Azure角色分配条件Azure Queue Storage的属性。

属性

根据所选的操作，特性可能出现在不同的位置。 如果为单个条件选择多个操作，则能为条件选择的属性可能较少，因为这些属性必须在全部所选操作中可用。 若要指定特性，必须包含源作为前缀。

有关可在条件中使用的存储属性的完整列表，请参阅：

• Azure Blob Storage属性
• Azure Queue Storage属性

环境属性

环境属性与发出访问请求的环境相关联，例如日期和时间或网络环境。 网络环境可能指明是通过特定专用终结点或虚拟网络子网进行访问，还是可能通过任何专用链接进行访问。

下表列出了条件支持的环境属性。

¹ 对于复制操作，Is private link、Private endpoint 和 Subnet 属性仅适用于目标（例如存储帐户），而不适用于源。 有关适用的复制操作的详细信息，请选择表中的每个属性以查看更多详细信息。
² 仅当目前至少在订阅中配置了一个专用终结点时，才能使用 Private endpoint 属性。
³ 仅当你当前至少有一个使用订阅中配置的Subnet的虚拟网络子网时，才可以使用 属性。

主体属性

主体属性是自定义安全属性，分配给请求访问资源的安全主体。 安全主体可以是用户或企业应用程序（服务主体）。

要使用主体属性，必须具备以下各项：

• Microsoft Entra登录用户的权限，例如 Attribute 分配管理员角色
• Microsoft Entra ID中定义的自定义安全属性

有关自定义安全属性的详细信息，请参阅：

• 在 Microsoft Entra ID
• 基于标记和自定义安全属性允许对 Blob 进行读取访问
• 主体不会出现在属性源中

请求属性

请求属性与访问请求中指定的条件相关联，例如要列出的 Blob 的指定前缀。

资源属性

资源属性与请求访问的对象相关联，例如存储帐户名称、容器名称或是否为存储帐户启用分层命名空间。

函数运算符

本部分列出了可用于构造条件的函数运算符。

ActionMatches

SubOperationMatches

Exists

¹Exists 运算符仅支持Azure门户中视觉 ABAC 条件生成器中的这些属性。 可以使用其他工具将 Exists 运算符添加到任何属性，例如 PowerShell、Azure CLI、REST API 和Azure门户中的条件代码编辑器。

逻辑运算符

本部分列出了可用于构造条件的逻辑运算符。

且

或

Not

布尔比较运算符

本部分列出了可用于构造条件的布尔比较运算符。

字符串比较运算符

本部分列出了可用于构造条件的字符串比较运算符。

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

数值比较运算符

本部分列出了可用于构造条件的数值比较运算符。

日期/时间比较运算符

本部分列出了可用于构造条件的日期/时间比较运算符。

GUID 比较运算符

本部分列出了可用于构造条件的全局唯一标识符 (GUID) 比较运算符。

叉积比较运算符

本部分列出了可用于构造条件的叉积比较运算符。

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

特殊字符

组合与优先级

如果目标操作有三个或多个表达式，并且表达式之间有不同的运算符，则求值顺序不明确。 可以使用括号 () 对表达式进行分组并指定表达式的求值顺序。 括在括号中的表达式优先级更高。 例如，如果有以下表达式：

a AND b OR c

必须按以下方式之一添加括号：

(a AND b) OR c

a AND (b OR c)

后续步骤

• Azure Blob Storage
• 使用 Azure 门户添加或编辑Azure角色分配条件