配置对容器和 Blob 的匿名读取访问权限

若要在 Azure 门户中允许或禁止对存储帐户的匿名访问，请执行以下步骤：

1. 在 Azure 门户中，转到你的存储帐户。

2. 在设置下找到配置设置。

3. 将“允许 Blob 匿名访问”设置为“启用”或“禁用”。

   

若要允许或禁止使用 PowerShell 对存储帐户进行匿名访问，请安装 Azure PowerShell 4.4.0 或更高版本。 接下来，为新的或现有的存储帐户配置 AllowBlobPublicAccess 属性。

以下示例创建一个存储帐户并将 AllowBlobPublicAccess 属性显式设置为 false。 用你自己的值替换括号内的占位值：

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

若要通过 Azure CLI 允许或禁止对存储帐户的匿名访问，请安装 Azure CLI 2.9.0 或更高版本。 有关详细信息，请参阅 安装 Azure CLI。 接下来，为新的或现有的存储帐户配置 allowBlobPublicAccess 属性。

以下示例创建一个存储帐户并将 allowBlobPublicAccess 属性显式设置为 false。 用你自己的值替换括号内的占位值：

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

若要通过模板允许或禁止对存储帐户的匿名访问，请创建一个模板，并将其 AllowBlobPublicAccess 属性设置为 true 或 false。 以下步骤说明了如何在 Azure 门户中创建模板。

1. 在 Azure 门户中，选择“创建资源”。

2. 在“搜索服务和市场”中，键入“模板部署”，然后按 ENTER 键。

3. 依次选择“模板部署(使用自定义模板进行部署)”、“创建”、“在编辑器中生成自己的模板”。

4. 在模板编辑器中，粘贴以下 JSON 以创建新帐户，并将 AllowBlobPublicAccess 属性设置为 true 或 false。 请记得将尖括号中的占位符替换为你自己的值。

   {
       "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {},
       "variables": {
           "storageAccountName": "[concat(uniqueString(subscription().subscriptionId), 'template')]"
       },
       "resources": [
           {
           "name": "[variables('storageAccountName')]",
           "type": "Microsoft.Storage/storageAccounts",
           "apiVersion": "2019-06-01",
           "location": "<location>",
           "properties": {
               "allowBlobPublicAccess": false
           },
           "dependsOn": [],
           "sku": {
             "name": "Standard_GRS"
           },
           "kind": "StorageV2",
           "tags": {}
           }
       ]
   }
   

5. 保存模板。

6. 指定资源组参数，然后选择 “查看 + 创建 ”按钮以部署模板，并创建配置 了 allowBlobPublicAccess 属性的存储帐户。

若要在 Azure 门户中更新一个或多个现有容器的匿名访问级别，请执行以下步骤：

1. 在 Azure 门户中查看你的存储账户概览。

2. 在菜单边栏选项卡上的“数据存储”下，选择“容器”。

3. 选择要对其设置匿名访问级别的容器。

4. 选择 更改访问级别 以打开匿名访问设置。

5. 从 匿名访问层 级下拉菜单中选择所需的匿名访问级别，然后选择 确定 ，对所选容器应用更改。

   

6. 要验证变更，请重新打开 更改访问层级 ，并确认匿名 访问层 级显示的是你选中的值。

当存储账户不允许匿名访问时，你就无法设置容器的匿名访问级别。 如果尝试设置容器的匿名访问级别，则该设置将被禁用，因为该帐户不允许匿名访问。

若要使用 PowerShell 更新一个或多个容器的匿名访问级别，请调用 Set-AzStorageContainerAcl 命令。 通过传入帐户密钥、连接字符串或共享访问签名 (SAS) 来授权此操作。 设置容器 ACL 的操作, 用于设置容器的匿名访问级别，不支持使用 Microsoft Entra ID 进行授权。 有关详细信息，请参阅 调用 Blob 和队列数据操作的权限。

下面的示例创建一个禁用了匿名访问的容器，然后更新该容器的匿名访问设置，以允许对容器及其 blob 进行匿名访问。 请记得将括号中的占位符值替换为你自己的值：

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

当存储账户不允许匿名访问时，你就无法设置容器的匿名访问级别。 如果你尝试设置容器的匿名访问级别，Azure 存储会返回错误，表示存储账户不允许匿名访问。

要通过 Azure CLI 更新一个或多个容器的匿名访问级别，调用 az storage container set-permission 命令。 通过传入帐户密钥、连接字符串或共享访问签名 (SAS) 来授权此操作。 设置容器 ACL 的操作, 用于设置容器的匿名访问级别，不支持使用 Microsoft Entra ID 进行授权。 有关详细信息，请参阅 调用 Blob 和队列数据操作的权限。

下面的示例创建一个禁用了匿名访问的容器，然后更新该容器的匿名访问设置，以允许对容器及其 blob 进行匿名访问。 请记得将括号中的占位符值替换为你自己的值：

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group> \
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

当存储账户不允许匿名访问时，你就无法设置容器的匿名访问级别。 如果你尝试设置容器的匿名访问级别，Azure 存储会返回错误，表示存储账户不允许匿名访问。

不适用。