禁用Azure AD B2C时，如何安全跨组织共享Azure存储凭证

以下是几种无需依赖Azure AD B2C、比加密邮件更可控的安全共享方法：

1. 精细化配置共享访问签名（SAS） #

生成服务SAS或账户SAS时，严格限定访问范围：

• 只授予必要权限（比如仅r只读，而非全权限）
• 设置极短有效期（几小时到几天，按需调整）
• 绑定允许访问的IP地址范围，限制仅对方组织公网IP可用
• 可选绑定特定存储容器/Blob路径，缩小访问边界

生成SAS后，通过组织认可的加密即时通讯工具或内部安全文件共享平台发送，使用完毕后立即通过Azure门户或az storage revoke-delegation-keys命令撤销。这种方式避免共享长期有效存储密钥，泄露风险更低。

2. Azure AD B2B协作+RBAC角色分配 #

若对方组织拥有Azure租户，可采用Azure AD B2B协作（注意这与B2C是不同服务，仅用于跨租户身份协作）：

• 在你的Azure AD中邀请对方组织的用户/安全组
• 为受邀对象分配存储账户的精细化RBAC角色，比如Storage Blob Data Reader、Storage Queue Data Contributor等，遵循最小权限原则
• 对方用户直接用自身Azure AD身份访问存储资源，无需共享任何密钥或凭证

优势是完全基于身份的访问控制，可随时撤销角色权限，且能审计对方访问行为，安全性远高于共享凭证。

3. 加密离线介质传递 #

针对极高敏感级别的凭证，采用物理离线方式传递：

• 将存储密钥用AES-256等强加密算法加密，保存到U盘等离线介质
• 介质由专人递送至对方组织，加密密钥通过独立安全渠道传递（比如面对面告知、或另一加密通讯工具单独发送）
• 对方获取后立即导入并删除介质中的加密文件，同时销毁离线介质

这种方式彻底规避网络传输泄露风险，适合一次性、高敏感的凭证共享场景。

4. 企业级密码管理工具共享 #

利用双方组织认可的企业级密码管理平台：

• 在工具中创建加密共享文件夹，添加对方组织的授权用户
• 将Azure存储凭证存入该文件夹，设置访问权限（比如只读、有效期）和审计规则
• 对方用户通过身份验证后即可访问凭证，平台会记录所有访问行为，且可随时撤销权限

相比加密邮件，密码管理工具能持续控制凭证访问权限，避免邮件转发、留存带来的风险。

5. 临时访问令牌服务 #

搭建或使用第三方临时令牌服务：

• 服务根据对方身份验证信息，生成短期有效访问令牌（比如1小时内有效）
• 令牌绑定对方IP地址或身份标识，仅可用于指定存储资源操作
• 对方用令牌访问Azure存储，令牌过期后自动失效，无需手动回收

这种方式进一步降低凭证泄露的危害范围，适合频繁的短期访问需求。

内容的提问来源于stack exchange，提问作者giri rajh