تنسيق حالة تعيين دور Azure وبناء الجملة

الشرط هو فحص إضافي يمكنك إضافته اختياريا إلى تعيين الدور لتوفير مزيد من التحكم في الوصول الدقيق. مثلاً، يمكنك إضافة شرط يتطلب كائناً ذا علامة معينة لقراءة الكائن. تصف هذه المقالة تنسيق وبناء جملة شروط تعيين الدور.

تنسيق الشرط

لفهم شروط تعيين الدور بشكل أفضل، من المفيد إلقاء نظرة على التنسيق.

حالة بسيطة

يتكون الشرط الأساسي من إجراء مستهدف وتعبير. الإجراء هو عملية يمكن للمستخدم تنفيذها على نوع مورد. التعبير عبارة يتم تقييمها إلى صواب أو خطأ، والتي تحدد ما إذا كان يسمح بتنفيذ الإجراء أم لا.

يوضح التالي تنسيق شرط بسيط.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

الشرط التالي له إجراء من "قراءة كائن ثنائي كبير الحجم". يتحقق التعبير ما إذا كان اسم الحاوية blobs-example-container.

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

كيفية تقييم الشرط

إذا حاول مستخدم تنفيذ إجراء في تعيين الدور غير <action>، !(ActionMatches) يتم تقييمه إلى صحيح ويتم تقييم الشرط الإجمالي إلى صحيح للسماح بتنفيذ الإجراء.

إذا حاول مستخدم إجراء <action> في تعيين الدور، !(ActionMatches) يتم تقييمه إلى خطأ، لذلك يتم تقييم التعبير. إذا تم تقييم التعبير إلى true، يتم تقييم الشرط الإجمالي إلى true للسماح <action> بتنفيذه. وإلا، <action> لا يسمح بإجراء.

توضح التعليمات البرمجية الزائفة التالية طريقة أخرى يمكنك من خلالها قراءة هذا الشرط.

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

العمليات الفرعية

تحتوي بعض الإجراءات على عمليات فرعية. على سبيل المثال، Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read يحتوي إجراء البيانات على التشغيل الفرعي "قائمة الكائنات الثنائية كبيرة الحجم". الشروط ذات التشغيلات الفرعية لها التنسيق التالي.

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

إجراءات متعددة

يمكن أن يتضمن الشرط إجراءات متعددة تريد السماح بها إذا كان الشرط صحيحا. في حال إن قمت بتحديد إجراءات متعددة لشرط واحد، فقد يكون هناك عدد أقل من السمات المتعلقة بشرطك للاختيار من بينها، لأنه يجب أن تكون السمات متوفرة عبر الإجراءات المحددة.

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

تعبيرات متعددة

يمكن أن يتضمن الشرط تعبيرات متعددة. اعتمادا على عامل التشغيل، يمكن التحقق من السمات مقابل قيم متعددة.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

شروط متعددة

يمكنك أيضا دمج الشروط لاستهداف إجراءات متعددة.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

بناء جملة الشرط

يظهر التالي بناء الجملة لشرط تعيين دور.

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

الإجراءات

حاليا، يمكن إضافة الشروط إلى تعيينات الأدوار المضمنة أو المخصصة التي تحتوي على تخزين كائن ثنائي كبير الحجم أو إجراءات بيانات تخزين قائمة الانتظار. تتضمن هذه الأدوار المضمنة ما يلي:

• المساهم في بيانات مخزن البيانات الثنائية الكبيرة
• مالك بيانات للبيانات الثنائية الكبيرة للتخزين
• قارئ بيانات للبيانات الثنائية الكبيرة للتخزين
• مساهم بيانات قائمة انتظار التخزين
• معالج رسالة بيانات قائمة انتظار التخزين
• مرسل رسالة بيانات قائمة انتظار التخزين
• قارئ بيانات قائمة انتظار التخزين

للحصول على قائمة بإجراءات التخزين التي يمكنك استخدامها في الظروف، راجع:

• الإجراءات والسمات الخاصة بشروط تعيين دور Azure لتخزين Azure Blob
• الإجراءات والسمات الخاصة بشروط تعيين دور Azure ل Azure Queue Storage.

السمات

اعتمادا على الإجراءات المحددة، قد يتم العثور على السمة في أماكن مختلفة. إذا قمت بتحديد إجراءات متعددة لشرط واحد، فقد يكون هناك عدد أقل من السمات للاختيار من بينها للشرط الخاص بك لأنه يجب أن تكون السمات متوفرة عبر جميع الإجراءات المحددة. لتحديد سمة، يجب تضمين المصدر كبادئة.

للحصول على قائمة كاملة بسمات التخزين التي يمكنك استخدامها في الظروف، راجع:

• سمات Azure Blob Storage
• سمات Azure Queue Storage

سمات البيئة

ترتبط سمات البيئة بالظروف التي يتم بموجبها طلب الوصول، مثل تاريخ ووقت اليوم أو بيئة الشبكة. قد تكون بيئة الشبكة سواء كان الوصول عبر نقطة نهاية خاصة معينة أو شبكة فرعية لشبكة ظاهرية، أو ربما عبر أي ارتباط خاص.

يسرد الجدول التالي سمات البيئة المدعومة للشروط.

¹ بالنسبة لعمليات النسخ، Is private linkPrivate endpointتنطبق السمات و و Subnet فقط على الوجهة، مثل حساب التخزين، وليس المصدر. لمزيد من المعلومات حول عمليات النسخ التي ينطبق عليها هذا، حدد كل سمة في الجدول للاطلاع على مزيد من التفاصيل.
² يمكنك استخدام السمة Private endpoint فقط إذا كان لديك حاليا نقطة نهاية خاصة واحدة على الأقل تم تكوينها في اشتراكك.
³ يمكنك استخدام السمة Subnet فقط إذا كان لديك حاليا شبكة فرعية واحدة على الأقل للشبكة الظاهرية باستخدام نقاط نهاية الخدمة المكونة في اشتراكك.

السمات الأساسية

السمات الأساسية هي سمات أمان مخصصة تم تعيينها إلى أساس الأمان الذي يطلب الوصول إلى مورد. يمكن أن يكون أساس الأمان مستخدما أو تطبيق مؤسسة (كيان الخدمة).

لاستخدام السمات الأساسية، يجب أن يكون لديك ما يلي:

• أذونات Microsoft Entra للمستخدم الذي قام بتسجيل الدخول، مثل دور مسؤول تعيين السمة
• سمات الأمان المخصصة المعرفة في معرف Microsoft Entra

لمزيد من المعلومات حول سمات الأمان المخصصة، راجع:

• إضافة سمات الأمان المخصصة أو إلغاء تنشيطها في معرف Microsoft Entra
• السماح بالوصول للقراءة إلى الكائنات الثنائية كبيرة الحجم استنادا إلى العلامات وسمات الأمان المخصصة
• لا يظهر الأساسي في مصدر السمة

سمات الطلب

ترتبط سمات الطلب بالمعايير المحددة في طلب الوصول، مثل البادئة المحددة للكائنات الثنائية كبيرة الحجم المراد سردها.

سمات المورد

ترتبط سمات الموارد بالعنصر الذي يتم طلب الوصول إليه، مثل اسم حساب التخزين أو اسم الحاوية أو ما إذا كانت مساحة الاسم الهرمية ممكنة لحساب التخزين.

عوامل تشغيل الوظائف

يسرد هذا القسم عوامل تشغيل الدالة المتوفرة لإنشاء الشروط.

تطابقات الإجراء

تطابقات التشغيل الفرعي

موجود

¹ Exists يتم دعم عامل التشغيل لهذه السمات فقط في منشئ شرط ABAC المرئي في مدخل Microsoft Azure. يمكنك إضافة عامل التشغيل إلى أي سمة Exists باستخدام أدوات أخرى، مثل PowerShell وAzure CLI وواجهة برمجة تطبيقات REST ومحرر رمز الشرط في مدخل Microsoft Azure.

العوامل المنطقية

يسرد هذا القسم عوامل التشغيل المنطقية المتوفرة لإنشاء الشروط.

و

أو

Not

عوامل المقارنة المنطقية

يسرد هذا القسم عوامل المقارنة المنطقية المتوفرة لإنشاء الشروط.

عوامل تشغيل مقارنة السلسلة

يسرد هذا القسم عوامل مقارنة السلسلة المتوفرة لإنشاء الشروط.

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

عوامل المقارنة الرقمية

يسرد هذا القسم عوامل المقارنة الرقمية المتوفرة لإنشاء الشروط.

عوامل مقارنة التاريخ والوقت

يسرد هذا القسم عوامل مقارنة التاريخ/الوقت المتوفرة لإنشاء الشروط.

عوامل المقارنة GUID

يسرد هذا القسم عوامل المقارنة للمعرف الفريد العمومي (GUID) المتوفرة لإنشاء الشروط.

عوامل المقارنة عبر المنتجات

يسرد هذا القسم عوامل المقارنة عبر المنتجات المتوفرة لإنشاء الشروط.

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

الأحرف الخاصة

التجميع والأسبقية

إذا كان لديك ثلاثة تعبيرات أو أكثر لإجراء مستهدف مع عوامل تشغيل مختلفة بين التعبيرات، يكون ترتيب التقييم غامضا. يمكنك استخدام الأقواس () لتجميع التعبيرات وتحديد ترتيب تقييم التعبيرات. التعبيرات المضمنة بين أقواس لها أسبقية أعلى. على سبيل المثال، إذا كان لديك التعبير التالي:

a AND b OR c

يجب إضافة أقواس بإحدى الطرق التالية:

(a AND b) OR c

a AND (b OR c)

الخطوات التالية

• مثال على شروط تعيين دور Azure ل Blob Storage
• إضافة شروط تعيين دور Azure أو تحريرها باستخدام مدخل Microsoft Azure