配置对容器和 Blob 的匿名读取访问权限

若要在 Azure 门户中允许或禁止对存储帐户的匿名访问，请执行以下步骤：

1. 导航到 Azure 门户中的存储帐户。

2. 在“设置”下找到“配置”设置。

3. 将“允许 Blob 匿名访问”设置为“启用”或“禁用”。

   

若要通过 PowerShell 允许或禁止对存储帐户的匿名访问，请安装 Azure PowerShell 版本 4.4.0 或更高版本。 接下来，为新的或现有的存储帐户配置 AllowBlobPublicAccess 属性。

以下示例创建一个存储帐户并将 AllowBlobPublicAccess 属性显式设置为 false。 请记得将括号中的占位符值替换为你自己的值：

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

若要通过 Azure CLI 允许或禁止对存储帐户的匿名访问，请安装 Azure CLI 2.9.0 或更高版本。 有关详细信息，请参阅安装 Azure CLI。 接下来，为新的或现有的存储帐户配置 allowBlobPublicAccess 属性。

以下示例创建一个存储帐户并将 allowBlobPublicAccess 属性显式设置为 false。 请记得将括号中的占位符值替换为你自己的值：

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

若要通过模板允许或禁止对存储帐户的匿名访问，请创建一个模板，并将其 AllowBlobPublicAccess 属性设置为 true 或 false。 以下步骤说明了如何在 Azure 门户中创建模板。

1. 在 Azure 门户中，选择“创建资源”。

2. 在“搜索服务和市场”中，键入“模板部署”，然后按 ENTER 键。

3. 依次选择“模板部署(使用自定义模板进行部署)”、“创建”、“在编辑器中生成自己的模板”。

4. 在模板编辑器中，粘贴以下 JSON 以创建新帐户，并将 AllowBlobPublicAccess 属性设置为 true 或 false。 请记得将尖括号中的占位符替换为你自己的值。

   {
       "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {},
       "variables": {
           "storageAccountName": "[concat(uniqueString(subscription().subscriptionId), 'template')]"
       },
       "resources": [
           {
           "name": "[variables('storageAccountName')]",
           "type": "Microsoft.Storage/storageAccounts",
           "apiVersion": "2019-06-01",
           "location": "<location>",
           "properties": {
               "allowBlobPublicAccess": false
           },
           "dependsOn": [],
           "sku": {
             "name": "Standard_GRS"
           },
           "kind": "StorageV2",
           "tags": {}
           }
       ]
   }
   

5. 保存模板。

6. 指定资源组参数，然后选择“查看 + 创建”按钮以部署模板，并创建配置了 allowBlobPublicAccess 属性的存储帐户。

若要在 Azure 门户中更新一个或多个现有容器的匿名访问级别，请执行以下步骤：

1. 在 Azure 门户中导航到存储帐户概述。

2. 在菜单边栏选项卡上的“数据存储”下，选择“容器”。

3. 选择要对其设置匿名访问级别的容器。

4. 使用“更改访问级别”按钮显示匿名访问权限设置。

5. 从“匿名访问级别”下拉列表中选择所需的匿名访问级别，然后选择“确定”按钮以应用对选定容器所做的更改。

   

当存储帐户不允许匿名访问时，无法设置容器的匿名访问级别。 如果尝试设置容器的匿名访问级别，则该设置将被禁用，因为该帐户不允许匿名访问。

若要通过 PowerShell 更新一个或多个容器的匿名访问级别，请调用 Set-AzStorageContainerAcl 命令。 通过传入帐户密钥、连接字符串或共享访问签名 (SAS) 来授权此操作。 设置容器的匿名访问级别的“设置容器 ACL”操作不支持使用 Microsoft Entra ID 进行授权。 有关详细信息，请参阅调用 blob 和队列数据操作的权限。

下面的示例创建一个禁用了匿名访问的容器，然后更新该容器的匿名访问设置，以允许对容器及其 blob 进行匿名访问。 请记得将括号中的占位符值替换为你自己的值：

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

当存储帐户不允许匿名访问时，无法设置容器的匿名访问级别。 如果尝试设置容器的匿名访问级别，则 Azure 存储会返回一个错误，指示不允许在该存储帐户上进行匿名访问。

若要通过 Azure CLI 更新一个或多个容器的匿名访问级别，请调用 az storage container set permission 命令。 通过传入帐户密钥、连接字符串或共享访问签名 (SAS) 来授权此操作。 设置容器的匿名访问级别的“设置容器 ACL”操作不支持使用 Microsoft Entra ID 进行授权。 有关详细信息，请参阅调用 blob 和队列数据操作的权限。

下面的示例创建一个禁用了匿名访问的容器，然后更新该容器的匿名访问设置，以允许对容器及其 blob 进行匿名访问。 请记得将括号中的占位符值替换为你自己的值：

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group>
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

当存储帐户不允许匿名访问时，无法设置容器的匿名访问级别。 如果尝试设置容器的匿名访问级别，则 Azure 存储会返回一个错误，指示不允许在该存储帐户上进行匿名访问。

不适用。