选择如何使用 Azure CLI 授予对队列数据的访问权限

项目
12/08/2023

Azure 存储提供适用于 Azure CLI 的扩展，使你能够指定如何根据需要授予针对队列数据的操作权限。可通过以下方式授权数据操作：

使用 Microsoft Entra 安全主体。 Microsoft 建议使用 Microsoft Entra 凭据来实现优异的安全性和易用性。
使用帐户访问密钥或共享访问签名 (SAS) 令牌。

指定数据操作的授权方式

用于读取和写入队列数据的 Azure CLI 命令包括可选的 --auth-mode 参数。指定此参数可以指示数据操作的授权方式：

将 --auth-mode 参数设置为 login 可以使用 Microsoft Entra 安全主体登录（建议）。
将 --auth-mode 参数设置为传统 key 值可以尝试检索用于授权的帐户访问密钥。如果省略 --auth-mode 参数，则 Azure CLI 也会尝试检索访问密钥。

若要使用 --auth-mode 参数，请确保已安装 Azure CLI v2.0.46 或更高版本。运行 az --version 以查看已安装版本。

注意

在使用 Azure 资源管理器 ReadOnly 锁锁定了某个存储帐户时，不允许为该存储帐户执行列出密钥操作。 “列出密钥”是 POST 操作，并且在为该帐户配置了 ReadOnly 锁时，所有的 POST 操作都会被阻止。因此，当帐户被 ReadOnly 锁锁定时，还没有帐户密钥的用户必须使用 Microsoft Entra 凭据来访问队列数据。

重要

如果省略 --auth-mode 参数或将其设置为 key，则 Azure CLI 会尝试使用帐户访问密钥进行授权。在这种情况下，Azure 建议在命令或 AZURE_STORAGE_KEY 环境变量中提供访问密钥。有关环境变量的详细信息，请参阅标题为为授权参数设置环境变量的部分。

如果不提供访问密钥，则 Azure CLI 会尝试调用 Azure 存储资源提供程序来检索每个操作的访问密钥。执行多个需要调用资源提供程序的数据操作可能会导致发生限制。有关资源提供程序限制的详细信息，请参阅 Azure 存储资源提供程序的可伸缩性和性能目标。

使用 Microsoft Entra 凭据授权

使用 Microsoft Entra 凭据登录 Azure CLI 时，会返回 OAuth 2.0 访问令牌。 Azure CLI 自动使用该令牌针对队列存储进行后续数据操作授权。对于支持的操作，无需再通过命令传递帐户密钥或 SAS 令牌。

可通过 Azure 基于角色的访问控制 (Azure RBAC) 向 Microsoft Entra 安全主体分配对队列数据的权限。有关 Azure 存储中 Azure 角色的详细信息，请参阅通过 Azure RBAC 管理 Azure 存储数据访问权限。

用于调用数据操作的权限

Azure 存储扩展支持针对队列数据的操作。可调用的操作取决于向 Microsoft Entra 安全主体授予的权限，此安全主体用于登录 Azure CLI。对队列的权限通过 Azure RBAC 进行分配。例如，如果为你分配了“存储队列数据读取者”角色，你可以运行从队列读取数据的脚本命令。如果为你分配了“存储队列数据参与者”角色，你可以运行脚本命令来读取、写入或删除队列或其中所含数据。

若要详细了解针对队列的每个 Azure 存储操作所需的权限，请参阅使用 OAuth 令牌调用存储操作。

示例：授权操作使用 Microsoft Entra 凭据创建队列

以下示例演示如何在 Azure CLI 中使用 Microsoft Entra 凭据创建队列。若要创建队列，需要登录到 Azure CLI，并需要资源组和存储帐户。

创建队列之前，请为自己分配存储队列数据参与者角色。即使你是帐户所有者，也需要显式权限才能针对存储帐户执行数据操作。若要详细了解如何分配 Azure 角色，请参阅分配用于访问队列数据的 Azure 角色。

重要

传播 Azure 角色分配可能需要花费几分钟时间。
在将 --auth-mode 参数设置为 login 的情况下，调用 az storage queue create 命令以使用 Microsoft Entra 凭据创建队列。请务必将尖括号中的占位符值替换为你自己的值：
```
az storage queue create \
    --account-name <storage-account> \
    --name sample-queue \
    --auth-mode login
```

使用帐户访问密钥授权

如果你拥有帐户密钥，则可以调用任何 Azure 存储数据操作。一般情况下，使用帐户密钥的安全性较低。如果帐户密钥已透露，帐户中的所有数据也可能会透露。

以下示例演示如何使用帐户访问密钥来创建队列。指定帐户密钥，并提供值为 key 的 --auth-mode 参数：

az storage queue create \
    --account-name <storage-account> \
    --name sample-queue \
    --account-key <key>
    --auth-mode key

使用 SAS 令牌授权

如果你拥有 SAS 令牌，则可以调用 SAS 允许的数据操作。以下示例演示如何使用 SAS 令牌来创建队列：

az storage queue create \
    --account-name <storage-account> \
    --name sample-queue \
    --sas-token <token>

为授权参数设置环境变量

可以在环境变量中指定授权参数，以免每次调用 Azure 存储数据操作时都要包含这些参数。下表描述了可用的环境变量。

环境变量	说明
AZURE_STORAGE_ACCOUNT	存储帐户名称。此变量应与存储帐户密钥或 SAS 令牌结合使用。如果该密钥和令牌都不存在，则 Azure CLI 会尝试使用经过身份验证的 Microsoft Entra 帐户检索存储帐户访问密钥。如果一次性运行大量的命令，可能会达到 Azure 存储资源提供程序的限制。有关资源提供程序限制的详细信息，请参阅 Azure 存储资源提供程序的可伸缩性和性能目标。
AZURE_STORAGE_KEY	存储帐户密钥。此变量必须与存储帐户名称结合使用。
AZURE_STORAGE_CONNECTION_STRING	一个包含存储帐户密钥或 SAS 令牌的连接字符串。此变量必须与存储帐户名称结合使用。
AZURE_STORAGE_SAS_TOKEN	共享访问签名 (SAS) 令牌。此变量必须与存储帐户名称结合使用。
AZURE_STORAGE_AUTH_MODE	用于运行命令的授权模式。允许的值为 `login`（建议）或 `key`。如果指定 `login`，Azure CLI 将使用 Microsoft Entra 凭据来授权数据操作。如果指定传统 `key` 模式，Azure CLI 会尝试查询帐户访问密钥，并使用该密钥为命令授权。

通过