Azure-beli szerepkör-hozzárendelés feltételeinek formátuma és szintaxisa

A feltétel egy olyan további ellenőrzés, amelyet hozzáadhat a szerepkör-hozzárendeléshez a még részletesebb hozzáférés-vezérlés érdekében. Hozzáadhat például egy feltételt, amely megköveteli, hogy egy objektum egy adott címkével rendelkezzen az objektum olvasásához. Ez a cikk a szerepkör-hozzárendelési feltételek formátumát és szintaxisát ismerteti.

Feltételformátum

A szerepkör-hozzárendelési feltételek jobb megértése érdekében segít áttekinteni a formátumot.

Egyszerű feltétel

A legalapvetőbb feltétel egy célzott műveletből és egy kifejezésből áll. A művelet olyan művelet, amelyet a felhasználó végrehajthat egy erőforrástípuson. A kifejezés egy igaz vagy hamis értéket kiértékelő utasítás, amely meghatározza, hogy a művelet végrehajtható-e.

Az alábbiakban egy egyszerű feltétel formátuma látható.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Az alábbi feltétel a "Blob olvasása" művelet. A kifejezés ellenőrzi, hogy a tároló neve blob-example-container-e.

(
    (
        !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
    )
    OR 
    (
        @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]
        StringEquals 'blobs-example-container'
    )
)

A feltétel kiértékelésének menete

Ha egy felhasználó olyan műveletet próbál végrehajtani a szerepkör-hozzárendelésben, amely nem <action>az, !(ActionMatches) akkor a kiértékelése igaz, és az általános feltétel igaz értékre van kiértékelve, hogy lehetővé tegye a művelet végrehajtását.

Ha egy felhasználó megpróbálja végrehajtani <action> a szerepkör-hozzárendelést, !(ActionMatches) hamis értékre értékel, így a kifejezés kiértékelése történik. Ha a kifejezés igaz értéket ad vissza, az általános feltétel igaz értéket ad, hogy lehetővé tegye <action> a végrehajtást. <action> Ellenkező esetben nem végezhető el.

Az alábbi pszeudokód egy másik módszert mutat be, amellyel elolvashatja ezt a feltételt.

if a user tries to perform an action in the role assignment that does not match <action>
{
    Allow action to be performed
}
else
{
    if <attribute> <operator> <value> is true
    {
        Allow <action> to be performed
    }
    else
    {
        Do not allow <action> to be performed
    }
}

Aloperációk

Egyes műveletek alműveletekkel rendelkeznek. Az adatművelet például Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read a "Listablobok" alműveletet tartalmazza. Az alműveletekkel kapcsolatos feltételek formátuma a következő.

(
    (
        !(ActionMatches{'<action>'}
        AND
        SubOperationMatches{'<subOperation>'})

    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Több művelet

Egy feltétel több olyan műveletet is tartalmazhat, amelyet engedélyezni szeretne, ha a feltétel igaz. Ha egyetlen feltételhez több műveletet is kiválaszt, előfordulhat, hogy kevesebb attribútum közül kell választania a feltételhez, mert az attribútumoknak elérhetőnek kell lenniük a kijelölt műveletek között.

(
    (
        !(ActionMatches{'<action>'})
        AND
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
    )
)

Több kifejezés

Egy feltétel több kifejezést is tartalmazhat. Az operátortól függően az attribútumok több értéken is ellenőrizhetők.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)

Több feltétel

A feltételek kombinálásával több műveletet is megcélozhat.

(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> {<value>, <value>, <value>}
        AND | OR
        <attribute> <operator> <value>
    )
)
AND
(
    (
        !(ActionMatches{'<action>'})
    )
    OR
    (
        <attribute> <operator> <value>
        AND | OR
        <attribute> <operator> <value>
    )
)

Feltételszintaxis

Az alábbiakban egy szerepkör-hozzárendelési feltétel szintaxisa látható.

(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
(
    (
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        !(ActionMatches{'<action>'} AND SubOperationMatches{'<subOperation>'})
        AND
        ...
    )
    OR
    (
        <attribute> <operator> {<value, <value>, ...}
        AND | OR
        <attribute> <operator> {<value>, <value>, ...}
        AND | OR
        ...
    )
)
AND
...

Műveletek

Jelenleg olyan beépített vagy egyéni szerepkör-hozzárendelésekhez lehet feltételeket adni, amelyek blobtároló- vagy üzenetsortár-adatműveletekkel rendelkeznek. Ezek közé a következő beépített szerepkörök tartoznak:

• Storage-blobadatok közreműködője
• Storage-blobadatok tulajdonosa
• Storage-blobadatok olvasója
• Tárolási várólista adatszolgáltatója
• Tárolósor adatüzenet-feldolgozója
• Storage-üzenetsor adatüzenet-küldője
• Tárolósor adatolvasója

A feltételek között használható tárolási műveletek listáját a következő témakörben találja:

• Az Azure Blob Storage Azure-szerepkör-hozzárendelési feltételeinek műveletei és attribútumai
• Az Azure Queue Storage Azure-szerepkör-hozzárendelési feltételeinek műveletei és attribútumai.

Attribútumok

A kiválasztott műveletektől függően előfordulhat, hogy az attribútum különböző helyeken található. Ha egyetlen feltételhez több műveletet is kiválaszt, előfordulhat, hogy kevesebb attribútum közül kell választania a feltételhez, mert az attribútumoknak az összes kijelölt műveletben elérhetőnek kell lenniük. Attribútum megadásához a forrást előtagként kell megadnia.

A feltételekben használható tárolási attribútumok teljes listáját a következő témakörben találja:

• Azure Blob Storage-attribútumok
• Azure Queue Storage-attribútumok

Környezeti attribútumok

A környezeti attribútumok a hozzáférési kérések körülményeihez vannak társítva, például a nap és a nap időpontja vagy a hálózati környezet. A hálózati környezet lehet, hogy a hozzáférés egy adott privát végponton vagy egy virtuális hálózati alhálózaton keresztül történik, vagy akár bármilyen privát kapcsolaton keresztül.

Az alábbi táblázat a feltételek támogatott környezeti attribútumait sorolja fel.

¹ Másolási műveletek esetén a Is private link, Private endpointés Subnet attribútumok csak a célra vonatkoznak, az ilyen tárfiókra, a forrásra nem. A másolási műveletekkel kapcsolatos további információkért válassza ki a táblázat egyes attribútumait a további részletek megtekintéséhez.
² Az attribútumot csak akkor használhatja Private endpoint , ha jelenleg legalább egy privát végpont van konfigurálva az előfizetésben.
³ Az attribútumot csak akkor használhatjaSubnet, ha jelenleg legalább egy virtuális hálózati alhálózattal rendelkezik az előfizetésben konfigurált szolgáltatásvégpontok használatával.

Egyszerű attribútumok

Az egyszerű attribútumok az erőforráshoz hozzáférést kérő biztonsági taghoz rendelt egyéni biztonsági attribútumok. A biztonsági tag lehet felhasználó vagy vállalati alkalmazás (szolgáltatásnév).

Az egyszerű attribútumok használatához a következőkre van szükség:

• Microsoft Entra-engedélyek a bejelentkezett felhasználóhoz, például az attribútum-hozzárendelés-rendszergazdai szerepkörhöz
• A Microsoft Entra ID-ban definiált egyéni biztonsági attribútumok

További információ az egyéni biztonsági attribútumokról:

• Egyéni biztonsági attribútumok hozzáadása vagy inaktiválása a Microsoft Entra-azonosítóban
• Blobok olvasási hozzáférésének engedélyezése címkék és egyéni biztonsági attribútumok alapján
• Az egyszerű elem nem jelenik meg az attribútumforrásban

Kérelemattribútumok

A kérelemattribútumok a hozzáférési kérelemben megadott feltételekhez vannak társítva, például a listázandó blobok megadott előtagjával.

Erőforrásattribútumok

Az erőforrásattribútumok ahhoz az objektumhoz vannak társítva, amelyhez hozzáférést kérnek, például a tárfiók nevét, a tároló nevét vagy azt, hogy engedélyezve van-e a hierarchikus névtér a tárfiókhoz.

Függvény operátorai

Ez a szakasz felsorolja a feltételek létrehozásához rendelkezésre álló függvényoperátorokat.

ActionMatches

SubOperationMatches

Létezik

¹ Az Exists operátor csak ezekhez az attribútumokhoz támogatott az Azure Portal vizualizációs ABAC-feltételkészítőjében. Az operátort Exists bármely attribútumhoz hozzáadhatja más eszközökkel, például a PowerShell, az Azure CLI, a REST API és a feltételkód-szerkesztő használatával az Azure Portalon.

Logikai operátorok

Ez a szakasz a feltételek létrehozásához elérhető logikai operátorokat sorolja fel.

And

Vagy

Not

Logikai összehasonlító operátorok

Ez a szakasz a feltételek létrehozásához elérhető logikai összehasonlító operátorokat sorolja fel.

Sztring-összehasonlító operátorok

Ez a szakasz a feltételek létrehozásához elérhető sztring-összehasonlító operátorokat sorolja fel.

StringEquals

StringNotEquals

StringStartsWith

StringNotStartsWith

StringLike

StringNotLike

Numerikus összehasonlító operátorok

Ez a szakasz felsorolja a feltételek létrehozásához elérhető numerikus összehasonlító operátorokat.

DateTime összehasonlító operátorok

Ez a szakasz felsorolja a feltételek létrehozásához elérhető dátum-idő összehasonlító operátorokat.

GUID összehasonlító operátorok

Ez a szakasz a feltételek létrehozásához elérhető globálisan egyedi azonosító (GUID) összehasonlító operátorokat sorolja fel.

Termék-összehasonlító operátorok

Ez a szakasz felsorolja a termékek közötti összehasonlító operátorokat, amelyek feltételeket hozhatnak létre.

ForAnyOfAnyValues

ForAllOfAnyValues

ForAnyOfAllValues

ForAllOfAllValues

Speciális karakterek

Csoportosítás és elsőbbség

Ha egy célzott művelethez három vagy több kifejezés tartozik, amelyek különböző operátorokkal rendelkeznek a kifejezések között, a kiértékelési sorrend nem egyértelmű. Zárójelek () használatával csoportosíthatja a kifejezéseket, és megadhatja a kifejezések kiértékelésének sorrendjét. A zárójelek közé zárt kifejezések nagyobb elsőbbséget élveznek. Ha például a következő kifejezéssel rendelkezik:

a AND b OR c

Zárójeleket az alábbi módok egyikével kell hozzáadnia:

(a AND b) OR c

a AND (b OR c)

Következő lépések

• Példa Azure-szerepkör-hozzárendelési feltételekre a Blob Storage-hoz
• Azure-szerepkör-hozzárendelési feltételek hozzáadása vagy szerkesztése az Azure Portal használatával