如何使用Azure SDK for Java为Blob容器添加服务主体以管理ACL

完全可以通过Azure SDK for Java实现对存储容器的ACL权限管理，并且集成服务主体进行认证和授权。以下是具体的实现步骤和代码示例：

1. 配置依赖 #

确保项目中引入Azure Storage Data Lake和Azure Identity的SDK依赖（以Maven为例）：

<dependencies>
    <dependency>
        <groupId>com.azure</groupId>
        <artifactId>azure-storage-file-datalake</artifactId>
        <version>12.18.0</version> <!-- 使用最新稳定版 -->
    </dependency>
    <dependency>
        <groupId>com.azure</groupId>
        <artifactId>azure-identity</artifactId>
        <version>1.10.0</version> <!-- 使用最新稳定版 -->
    </dependency>
</dependencies>

2. 通过服务主体认证并初始化客户端 #

使用服务主体的凭证（租户ID、客户端ID、客户端密钥）创建DataLakeServiceClient，这是操作存储资源的入口：

import com.azure.identity.ClientSecretCredential;
import com.azure.identity.ClientSecretCredentialBuilder;
import com.azure.storage.file.datalake.DataLakeServiceClient;
import com.azure.storage.file.datalake.DataLakeServiceClientBuilder;

public class AclManager {
    public static void main(String[] args) {
        String tenantId = "<你的租户ID>";
        String clientId = "<服务主体的客户端ID>";
        String clientSecret = "<服务主体的客户端密钥>";
        String storageAccountName = "<存储账户名称>";
        String containerName = "<目标容器名称>";

        // 构建服务主体凭证
        ClientSecretCredential credential = new ClientSecretCredentialBuilder()
                .tenantId(tenantId)
                .clientId(clientId)
                .clientSecret(clientSecret)
                .build();

        // 初始化DataLake服务客户端
        DataLakeServiceClient serviceClient = new DataLakeServiceClientBuilder()
                .endpoint("https://" + storageAccountName + ".dfs.core.windows.net")
                .credential(credential)
                .buildClient();

        // 获取目标容器的客户端
        var fileSystemClient = serviceClient.getFileSystemClient(containerName);
    }
}

3. 给容器添加服务主体的ACL权限 #

通过DataLakeFileSystemClient的setAccessControlList方法，为服务主体配置ACL规则。需要使用服务主体的Object ID（可在Azure AD的服务主体详情页获取）：

import com.azure.storage.file.datalake.models.AccessControlEntry;
import com.azure.storage.file.datalake.models.AccessControlType;
import com.azure.storage.file.datalake.models.Permissions;

import java.util.ArrayList;
import java.util.List;

// 接上面的代码，在获取fileSystemClient之后：
// 构造ACL条目：给服务主体分配读、写、执行权限
List<AccessControlEntry> aclEntries = new ArrayList<>();
aclEntries.add(new AccessControlEntry()
        .setAccessControlType(AccessControlType.USER)
        .setEntityId("<服务主体的Object ID>")
        .setPermissions(Permissions.parse("rwx")));

// 设置容器的ACL
fileSystemClient.setAccessControlList(aclEntries);

// 如果需要设置默认ACL（子目录/文件继承该权限），使用setDefaultAccessControlList
// fileSystemClient.setDefaultAccessControlList(aclEntries);

关键注意事项 #

• 服务主体需要具备足够的权限：若要修改容器ACL，服务主体需被分配Storage Blob Data Owner或Storage Blob Data Contributor角色（需在存储账户或容器级别分配）。
• 权限说明：r（读）、w（写）、x（执行，针对目录），可根据需求组合，比如rw-（只读写，无执行）。
• ACL层级：容器的ACL会被其下的目录和文件继承，若需要单独设置子资源权限，可使用DataLakeDirectoryClient或DataLakeFileClient的对应ACL方法。

内容的提问来源于stack exchange，提问作者OnkarG