AZURE Storage如何配置容器级精细化访问权限？

完全可以在不引入额外第三方服务的前提下，通过Azure原生能力实现S1存储账户的容器级权限隔离，你当前遇到的全员默认有全容器读权限的问题，本质是上层资源范围继承了过宽的数据平面权限，按以下步骤操作即可满足需求：

先收敛默认宽权限 #

所有用户默认能读全量容器Blob，一定是在订阅、S1所属资源组、S1存储账户这三个层级的某一层，给包含全员的主体（比如域内所有用户、全员安全组）分配了带Blob数据读权限的角色，和SAS本身的能力无关。

• 从存储账户S1开始逐层往上（资源组→订阅）打开「访问控制(IAM)」面板，排查所有角色分配，把针对非必要主体分配的、包含Blob数据操作权限的角色全部移除，重点排查Storage Blob Data Reader、Storage Blob Data Contributor、Contributor这类带数据平面访问权限的内置角色。

注意：Azure内置的Reader角色属于管理平面权限，仅允许用户查看存储账户的配置信息，默认无法读取容器内的Blob内容，不需要移除这类仅管理平面的角色。

按规则分配容器级权限 #

Azure RBAC原生支持容器级别的角色分配，不需要依赖SAS就能实现精准权限管控，直接对应需求配置即可：

• 针对C1容器的读权限要求：进入C1容器的详情页，打开「访问控制(IAM)」添加角色分配，选择内置角色Storage Blob Data Reader，授权对象选择M2、M3两个Azure AD用户即可。该角色仅授予被分配者读取C1容器内Blob的权限，既不能访问C2容器内容，也没有任何写入操作权限，M1未被分配该角色，自然没有C1的读权限。
• 针对管理员A1的全容器写权限要求：回到存储账户S1的「访问控制(IAM)」面板，添加角色分配，选择内置角色Storage Blob Data Contributor，授权对象选择A1，分配范围限定为S1存储账户即可。该角色包含S1下所有容器的Blob写入、读取、删除等全量数据操作权限，符合A1的权限要求。

后续权限管理说明 #

• 所有权限均由Azure AD原生管控，权限授予、回收操作即时生效，不需要额外部署其他服务。
• 你之前用的账户级SAS绑定存储账户访问密钥，拿到SAS的用户默认拥有密钥对应的全量权限，确实无法实现细粒度隔离，如果后续需要临时授权，推荐使用用户委托SAS，基于Azure AD身份做权限校验，同样可以实现容器甚至Blob级的权限控制。
• 后续团队规模扩大后，可以把同权限的用户加入Azure AD安全组，直接给安全组分配角色，减少逐人授权的运维成本。

内容的提问来源于stack exchange，提问作者Impulsleistung