Хранилище Azure — улучшения подписи общего доступа

За последние несколько месяцев группа хранения Azure выпустила два основных обновления. Оба эти обновления включают в себя некоторые действительно интересные новые функции и улучшения. В число этих новых функций и улучшений входят изменения в функциональности подписи общего доступа (SAS). В облаке портам SAS играет действительно важную роль. Мы используем его везде, где можем, чтобы упростить прямую связь между браузером пользователя и его учетной записью хранения.

В этой записи блога я хочу обобщить изменения, внесенные в SAS в двух последних версиях. Я сгруппирую эти изменения по версиям библиотеки REST API / .Net Storage Storage Service.

REST API версии 2015-02-21 / .Net Storage Client Library версии 5.XX

В этом выпуске было сделано два основных изменения, когда речь заходит о SAS.

SAS для файловой службы

Начиная с этой версии вы можете создать SAS для файловой службы. Вы можете создать SAS для общего ресурса файловой службы, а также файлы внутри общего ресурса.

SAS для файловой службы работает так же, как SAS для службы BLOB-объектов. В Blob Service вы можете создать SAS с разрешениями «Чтение», «Запись», «Удалить» и «Список» для контейнера BLOB-объектов. Аналогично в файловой службе вы можете создать SAS с правами «Чтение», «Запись», «Удалить» и «Список» для общего ресурса. В Blob Service вы можете создать SAS с разрешениями «Чтение», «Запись» и «Удалить» для BLOB-объекта. Аналогично, в File Service вы можете создать SAS с правами «Чтение», «Запись» и «Удалить» для файла.

Вы также можете определить политику доступа для общего ресурса файловой службы и использовать эту политику доступа при создании SAS для общего ресурса или файла на этом общем ресурсе.

Некоторые примеры того, как создать SAS на ресурсах файловой службы, см. В моем блоге: http://gauravmantri.com/2015/08/17/whats-new-in-azure-storage/ .

«Канонизированный ресурс» Создание

Это было серьезное изменение, введенное в этой версии, и оно применимо только в том случае, если вы создаете токен SAS самостоятельно, не используя какую-либо клиентскую библиотеку. По сути, вы должны добавить имя службы (blob, table, queue или file) к канонизированному ресурсу.

REST API версии 2015-04-05 / .Net Storage Client Library версии 6.XX

В этом выпуске было сделано три основных изменения, когда речь идет о SAS.

IP-адрес / ограничение диапазона

Теперь при создании SAS вы можете ограничить использование SAS IP-адресом или диапазоном IP-адресов. Затем, когда кто-то использует этот SAS, служба хранилища разрешает ему доступ к ресурсам хранилища только тогда, когда он обращается к URL-адресу SAS с IP-адреса, указанного в SAS.

Вы можете указать уникальный IP-адрес, например, 192.168.0.1 или диапазон IP-адресов, например, 192.168.0.0 — 192.168.0.255.

ИМХО, это очень полезная функция, когда вы хотите избежать попадания SAS в руки не тех людей.

Я бы хотел, чтобы Storage Team разрешила несколько диапазонов IP-адресов (например, 192.168.0.0 — 192.168.0.255, 10.10.1.0 — 10.10.1.255). В настоящее время мне придется создать несколько URL-адресов SAS для каждого диапазона IP-адресов, который я хочу поддерживать.

Пример 1. Список BLOB-объектов, ограниченных SAS по IP-адресу

        static void ListBlobsSasRestrictByIpAddressExample(string ipAddress)
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            var blobClient = account.CreateCloudBlobClient();
            var containerName = "a00";
            var container = blobClient.GetContainerReference(containerName);
            var ipAddressRange = new IPAddressOrRange(ipAddress);
            var sasToken = container.GetSharedAccessSignature(new SharedAccessBlobPolicy()
                {
                    Permissions = SharedAccessBlobPermissions.List,
                    SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
                }, null, null, ipAddressRange);
            Console.WriteLine(string.Format("Blob listing URL: {0}{1}&restype=container&comp=list", container.Uri, sasToken));
        }

        static void ListBlobsSasRestrictByIpAddressRangeExample(string ipAddressFrom, string ipAddressTo)
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            var blobClient = account.CreateCloudBlobClient();
            var containerName = "a00";
            var container = blobClient.GetContainerReference(containerName);
            var ipAddressRange = new IPAddressOrRange(ipAddressFrom, ipAddressTo);
            var sasToken = container.GetSharedAccessSignature(new SharedAccessBlobPolicy()
            {
                Permissions = SharedAccessBlobPermissions.List,
                SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
            }, null, null, ipAddressRange);
            Console.WriteLine(string.Format("Blob listing URL: {0}{1}&restype=container&comp=list", container.Uri, sasToken));
        }

        static void ListBlobsSasRestrictByProtocolExample(bool allowBothHttpAndHttpsProtocols)
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            var blobClient = account.CreateCloudBlobClient();
            var containerName = "a00";
            var container = blobClient.GetContainerReference(containerName);
            SharedAccessProtocol protocol = allowBothHttpAndHttpsProtocols ? SharedAccessProtocol.HttpsOrHttp : SharedAccessProtocol.HttpsOnly;
            var sasToken = container.GetSharedAccessSignature(new SharedAccessBlobPolicy()
            {
                Permissions = SharedAccessBlobPermissions.List,
                SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
            }, null, protocol, null);
            Console.WriteLine(string.Format("Blob listing URL: {0}{1}&restype=container&comp=list", container.Uri, sasToken));
        }

        static void AccountSasForListingBlobContainersAndFileServiceShares()
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            SharedAccessAccountServices servicesSupportedInSas = SharedAccessAccountServices.Blob | SharedAccessAccountServices.File;
            SharedAccessAccountResourceTypes resourceTypesSupportedInSas = SharedAccessAccountResourceTypes.Service;//Since we want to list top level containers only.
            SharedAccessAccountPermissions permissionsSupportedInSas = SharedAccessAccountPermissions.List;//Since we want to give list permissions only.
            var sasToken = account.GetSharedAccessSignature(new SharedAccessAccountPolicy()
                {
                    Services = servicesSupportedInSas,
                    ResourceTypes = resourceTypesSupportedInSas,
                    Permissions = permissionsSupportedInSas,
                    SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
                });
            Console.WriteLine(string.Format("Blob containers listing URL: {0}{1}&comp=list", account.BlobStorageUri.PrimaryUri, sasToken));
            Console.WriteLine(string.Format("File shares listing URL: {0}{1}&comp=list", account.FileStorageUri.PrimaryUri, sasToken));
        }

        static void AccountSasForCreatingBlobContainers()
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            SharedAccessAccountServices servicesSupportedInSas = SharedAccessAccountServices.Blob;
            SharedAccessAccountResourceTypes resourceTypesSupportedInSas = SharedAccessAccountResourceTypes.Container;//Since we want SAS for top level containers only.
            SharedAccessAccountPermissions permissionsSupportedInSas = SharedAccessAccountPermissions.Create;//Since we want to give create permission only.
            var sasToken = account.GetSharedAccessSignature(new SharedAccessAccountPolicy()
            {
                Services = servicesSupportedInSas,
                ResourceTypes = resourceTypesSupportedInSas,
                Permissions = permissionsSupportedInSas,
                SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
            });
            Console.WriteLine("Sas Token = " + sasToken);
        }

        static void AccountSasForDeletingShares()
        {
            var account = new CloudStorageAccount(new StorageCredentials(accountName, accountKey), true);
            SharedAccessAccountServices servicesSupportedInSas = SharedAccessAccountServices.File;
            SharedAccessAccountResourceTypes resourceTypesSupportedInSas = SharedAccessAccountResourceTypes.Container;//Since we want SAS for top level containers only.
            SharedAccessAccountPermissions permissionsSupportedInSas = SharedAccessAccountPermissions.Delete;//Since we want to give delete permission only.
            var sasToken = account.GetSharedAccessSignature(new SharedAccessAccountPolicy()
            {
                Services = servicesSupportedInSas,
                ResourceTypes = resourceTypesSupportedInSas,
                Permissions = permissionsSupportedInSas,
                SharedAccessExpiryTime = new DateTimeOffset(DateTime.UtcNow.AddHours(1))
            });
            Console.WriteLine("Sas Token = " + sasToken);
        }