使用托管标识从 Web 应用访问 Azure 存储

若要在 Azure 门户中创建常规用途 v2 存储帐户，请执行以下步骤。

1. 在 Azure 门户菜单中，选择“所有服务” 。 在资源列表中输入“存储帐户”。 开始键入时，会根据输入筛选该列表。 选择“存储帐户” 。

2. 在显示的“存储帐户”窗口中，选择“创建”。

3. 选择要在其中创建存储帐户的订阅。

4. 在“资源组”字段下，从下拉菜单中选择包含你的 Web 应用的资源组。

5. 然后，输入存储帐户的名称。 所选名称在 Azure 中必须唯一。 该名称还必须为 3 到 24 个字符，并且只能包含数字和小写字母。

6. 选择存储帐户的位置或使用默认位置。

7. 对于“性能”，请选择“标准”选项。

8. 对于“冗余”，请从下拉列表中选择“本地冗余存储 (LRS)”选项。

9. 选择“审阅”可查看存储帐户设置并创建帐户。

10. 选择“创建” 。

若要在 Azure 存储中创建 Blob 存储容器，请执行以下步骤。

1. 转到 Azure 门户中的新存储帐户。

2. 在存储帐户的左侧菜单中，滚动到“数据存储”部分，然后选择“容器”。

3. 选择“+ 容器”。

4. 为新容器键入名称。 容器名称必须小写，必须以字母或数字开头，并且只能包含字母、数字和短划线 (-) 字符。

5. 设置容器的公共访问权限级别。 默认级别为“专用(禁止匿名访问)”。

6. 选择“创建”创建容器。

若要创建常规用途 v2 存储帐户和 Blob 存储容器，请运行以下脚本。 指定包含 Web 应用的资源组的名称。 为存储帐户输入名称。 所选名称在 Azure 中必须唯一。 该名称还必须为 3 到 24 个字符，并且只能包含数字和小写字母。

指定存储帐户的位置。 若要查看对订阅有效的位置列表，请运行 Get-AzLocation | select Location。 容器名称必须小写，必须以字母或数字开头，并且只能包含字母、数字和短划线 (-) 字符。

请务必将尖括号中的占位符值替换为你自己的值。

Connect-AzAccount -Environment AzureChinaCloud

$resourceGroup = "securewebappresourcegroup"
$location = "<location>"
$storageName="securewebappstorage"
$containerName = "securewebappblobcontainer"

$storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name $storageName `
  -Location $location `
  -SkuName Standard_RAGRS `
  -Kind StorageV2

$ctx = $storageAccount.Context

New-AzStorageContainer -Name $containerName -Context $ctx -Permission blob

若要创建常规用途 v2 存储帐户和 Blob 存储容器，请运行以下脚本。 指定包含 Web 应用的资源组的名称。 为存储帐户输入名称。 所选名称在 Azure 中必须唯一。 该名称还必须为 3 到 24 个字符，并且只能包含数字和小写字母。

指定存储帐户的位置。 容器名称必须小写，必须以字母或数字开头，并且只能包含字母、数字和短划线 (-) 字符。

下面的示例使用 Microsoft Entra 帐户来授权操作创建容器。 创建容器之前，请将存储 Blob 数据参与者角色分配给自己。 即使你是帐户所有者，也需要显式权限才能对存储帐户执行数据操作。

请务必将尖括号中的占位符值替换为你自己的值。

az login

az storage account create \
    --name securewebappstorage \
    --resource-group securewebappresourcegroup \
    --location <location> \
    --sku Standard_ZRS \
    --encryption-services blob

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az ad signed-in-user show --query objectId -o tsv | az role assignment create \
    --role "Storage Blob Data Contributor" \
    --assignee @- \
    --scope $storageId

az storage container create \
    --account-name securewebappstorage \
    --name securewebappblobcontainer \
    --auth-mode login

在 Azure 门户中，进入你的存储帐户，向 Web 应用授予访问权限。 依次选择左侧窗格中的“访问控制(IAM)”、“角色分配” 。 你将看到有权访问存储帐户的用户的列表。 现在，你要向机器人（需要访问存储帐户的应用服务）添加角色分配。 选择“添加”>“添加角色分配”，打开“添加角色分配”页面 。

1. 在“分配类型”选项卡中，选择“作业函数类型”，然后选择“下一步”。

2. 在“角色”选项卡中，从下拉列表中选择“存储 Blob 数据参与者”角色，然后选择“下一步”。

3. 在“成员”选项卡中，选择“将访问权限分配给”->“托管标识”，然后选择“成员”->“选择成员”。 在“选择托管标识”窗口中，在“托管标识”下拉列表中查找并选择为应用服务创建的托管标识。 选择“选择”按钮 。

4. 选择“查看并分配”，然后再次选择“查看并分配”。

有关详细步骤，请参阅使用 Azure 门户分配 Azure 角色。

Web 应用现在可以访问存储帐户。

运行以下脚本，在存储帐户上为 Web 应用（由系统分配的托管标识表示）分配“存储 Blob 数据参与者”角色。

$resourceGroup = "securewebappresourcegroup"
$webAppName="SecureWebApp20201102125811"
$storageName="securewebappstorage"

$spID = (Get-AzWebApp -ResourceGroupName $resourceGroup -Name $webAppName).identity.principalid
$storageId= (Get-AzStorageAccount -ResourceGroupName $resourceGroup -Name $storageName).Id
New-AzRoleAssignment -ObjectId $spID -RoleDefinitionName "Storage Blob Data Contributor" -Scope $storageId

运行以下脚本，在存储帐户上为 Web 应用（由系统分配的托管标识表示）分配“存储 Blob 数据参与者”角色。

spID=$(az resource list -n SecureWebApp20201102125811 --query [*].identity.principalId --out tsv)

storageId=$(az storage account show -n securewebappstorage -g securewebappresourcegroup --query id --out tsv)

az role assignment create --assignee $spID --role 'Storage Blob Data Contributor' --scope $storageId

DefaultAzureCredential 类用于获取代码的令牌凭据，以授权对 Azure 存储的请求。 创建 DefaultAzureCredential 类的实例，该类使用托管标识提取令牌并将其附加到服务客户端。 下面的代码示例获取经过身份验证的令牌凭据，并使用它创建服务客户端对象，该对象将上传新的 Blob。

若要查看作为示例应用程序一部分的代码，请参阅 GitHub 上的示例。

安装客户端库包

安装要与 Blob 存储一起使用的 Blob 存储 NuGet 包，并安装适用于 .NET NuGet 包的 Azure 标识客户端库以使用 Microsoft Entra 凭据进行身份验证。 使用 .NET 命令行接口 (CLI) 或 Visual Studio 中的包管理器控制台，在项目中安装客户端库。

.NET CLI

打开一个命令行，并切换到包含项目文件的目录。

运行安装命令。

dotnet add package Azure.Storage.Blobs

dotnet add package Azure.Identity

程序包管理器控制台

在 Visual Studio 中打开项目或解决方案，并使用“工具”>“NuGet 包管理器”>“包管理器控制台”命令打开控制台 。

运行安装命令。

Install-Package Azure.Storage.Blobs

Install-Package Azure.Identity

示例

using System;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System.Collections.Generic;
using System.Threading.Tasks;
using System.Text;
using System.IO;
using Azure.Identity;

// Some code omitted for brevity.

static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
{
    // Construct the blob container endpoint from the arguments.
    string containerEndpoint = string.Format("https://{0}.blob.core.chinacloudapi.cn/{1}",
                                                accountName,
                                                containerName);

    // Get a credential and create a client object for the blob container.
    BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                    new DefaultAzureCredential());

    try
    {
        // Create the container if it does not exist.
        await containerClient.CreateIfNotExistsAsync();

        // Upload text to a new block blob.
        byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

        using (MemoryStream stream = new MemoryStream(byteArray))
        {
            await containerClient.UploadBlobAsync(blobName, stream);
        }
    }
    catch (Exception e)
    {
        throw e;
    }
}

DefaultAzureCredential 包中的 DefaultAzureCredential 类用于获取代码的令牌凭据，以授权对 Azure 存储的请求。 @azure/storage-blob 包中的 BlobServiceClient 类用于将新的 blob 上传到存储。 创建 DefaultAzureCredential 类的实例，该类使用托管标识提取令牌并将其附加到 blob 服务客户端。 下面的代码示例获取经过身份验证的令牌凭据，并使用它创建服务客户端对象，该对象将上传新的 Blob。

示例

const { DefaultAzureCredential } = require("@azure/identity");
const { BlobServiceClient } = require("@azure/storage-blob");
const defaultAzureCredential = new DefaultAzureCredential();

// Some code omitted for brevity.

async function uploadBlob(accountName, containerName, blobName, blobContents) {
    const blobServiceClient = new BlobServiceClient(
        `https://${accountName}.blob.core.chinacloudapi.cn`,
        defaultAzureCredential
    );

    const containerClient = blobServiceClient.getContainerClient(containerName);

    try {
        await containerClient.createIfNotExists();
        const blockBlobClient = containerClient.getBlockBlobClient(blobName);
        const uploadBlobResponse = await blockBlobClient.upload(blobContents, blobContents.length);
        console.log(`Upload block blob ${blobName} successfully`, uploadBlobResponse.requestId);
    } catch (error) {
        console.log(error);
    }
}