{"id":2321,"date":"2018-08-22T11:48:29","date_gmt":"2018-08-22T09:48:29","guid":{"rendered":"http:\/\/miroslaw.borodziuk.eu\/?p=2321"},"modified":"2018-08-22T20:57:50","modified_gmt":"2018-08-22T18:57:50","slug":"zarzadzanie-dostepem","status":"publish","type":"post","link":"http:\/\/miro.borodziuk.eu\/index.php\/2018\/08\/22\/zarzadzanie-dostepem\/","title":{"rendered":"Zarz\u0105dzanie dost\u0119pem do magazynu"},"content":{"rendered":"

Ka\u017cde zapytanie do magazynu wymaga identyfikacji u\u017cytkownika. Istnieje wiele technik kontroli dost\u0119pu do obiekt\u00f3w w storage.<\/p>\n

<\/p>\n

Jednym z typ\u00f3w identyfikacji u\u017cytkownika pr\u00f3buj\u0105cego uzyska\u0107 dost\u0119p do magazynu s\u0105 klucze identyfikacyjne. Klucze do ka\u017cdego magazynu mo\u017cna odnale\u017a\u0107 w portalu Azure:<\/p>\n

[Storage Account] -> Settings -> Access Keys<\/code><\/em><\/p>\n

\"\"<\/p>\n

Ka\u017cde konto storage ma dwa klucze:\u00a0 primary i secondary. Klucze s\u0105 dwa poniewa\u017c w czasie resetu i ponownego generowania (New-AzureRmSttorageAccountKey<\/code>) klucza primary mo\u017cemy korzysta\u0107 z klucza secondary i tym samym mie\u0107 nieprzerwany dost\u0119p do zasob\u00f3w magazynu.<\/p>\n

PS C:\\> New-AzureRmStorageKey -ResourceGroupName \"MyResourceGroup\" -Name \"mystorageaccount\" -KeyName \"key1\"<\/pre>\n
 <\/p>\n
Encrypt keys by using Azure Key Vault integration<\/span><\/p>\n
Mechanizmem, kt\u00f3ry pozwala szyfrowa\u0107 klucze, pliki .pfx oraz has\u0142a jest Azure Key Vault.<\/em>\u00a0 Poni\u017cej przyk\u0142ad jak utworzy\u0107 Azure Key Vault<\/em> i bezpiecznie sk\u0142adowa\u0107 w nim w klucze.<\/p>\n
$vaultName=\"MyKeyVault001\"\r\n$rgName=\"RG01\"\r\n$location=\"West Europe\"\r\n$keyName=\"Key01\"\r\n$secretName=\"Miro\"\r\n$storageAccount=\"mystorageaccount0002\"\r\n\r\n# Creating key vault\r\nNew-AzureRmKeyVault -VaultName $vaultName -ResourceGroupName $rgName -Location $location\r\n\r\n# Creating software managed key\r\n$key=Add-AzureKeyVaultKey -VaultName $vaultName -Name $keyName -Destination 'Software'\r\n\r\n# Retrieve the storage accounnt key\r\n$storageKey = Get-AzureRmStorageAccountKey -ResourceGroupName $rgName -Name $storageAccount\r\n\r\n# Convert the secret to a secure string\r\n$secretValue = ConvertTo-SecureString $storageKey[0].Value -AsPlainText -Force\r\n\r\n# Set the secret value\r\n$secret = Set-AzureKeyVaultSecret -VaultName $vaultName -Name $secretName -SecretValue $secretvalue<\/pre>\n
 <\/p>\n
 Creating, and using, shared access signatures<\/span><\/p>\n
Shared Access Signatures (SAS) to mechanizm przyznawania dost\u0119pu do konkrentnych zasob\u00f3w (konterner\u00f3w, blobs\u00f3w, kolejek i tabel) konta storage zamiast do ca\u0142ego konta. Przez przekazanie URLa SAS mo\u017cna pozwoli\u0107 klientom na uzyskanie przez nich dost\u0119pu do zasobu przez okre\u015blony czas i okre\u015blonymi prawami dost\u0119pu.<\/p>\n
Tokeny SAS mo\u017cna wygenerowa\u0107 w Azure Storage Explorerze<\/em> klikaj\u0105c prawym przyciskiem myszy na wybranym kontenerze i wybieraj\u0105c z menu kontekstowego Get Shared Access Signature.<\/code><\/p>\n
\"\"<\/p>\n
To samo mo\u017cna tak\u017ce zrobi\u0107 w PoweShellu.<\/p>\n
$storageAccount = \"mystorageaccount0002\"\r\n$rgName=\"RG01\"\r\n$container=\"mycontainer02\"\r\n$storageKey = Get-AzureRmStorageAccountKey -ResourceGroupName $rgName -Name $storageAccount\r\n$context = New-AzureStorageContext -StorageAccountName $storageAccount -StorageAccountKey $storageKey[0].Value\r\n\r\n$startTime = Get-Date\r\n$endTime = $startTime.AddHours(4)\r\nNew-AzureStorageBlobSASToken -Container $container `\r\n-Blob \"document.txt\" `\r\n-Permission \"rwd\" `\r\n-StartTime $startTime `\r\n-ExpiryTime $endTime `\r\n-Context $context<\/pre>\n
Wygenerowany token SAS:<\/p>\n
?sv=2017-07-29&sr=b&sig=s1IN7v163Lgu91hvBx%2BTFJr3q%2FWBp9Glb08VJmgI4cI%3D&st=2018-08-22T16%3A24%3A56Z&se=2018-08-22T20%3A24%3A56Z&sp=rwd<\/pre>\n
Adres URL do bloba “document.txt”<\/p>\n
https:\/\/mystorageaccount0002.blob.core.windows.net\/mycontainer02\/document.txt<\/code><\/a><\/p>\n
Adresu URL z dodanym tokenem:<\/p>\n
https:\/\/mystorageaccount0002.blob.core.windows.net\/mycontainer02\/document.txt?sv=2017-07-29&sr=b&sig=s1IN7v163Lgu91hvBx%2BTFJr3q%2FWBp9Glb08VJmgI4cI%3D&st=2018-08-22T16%3A24%3A56Z&se=2018-08-22T20%3A24%3A56Z&sp=rwd<\/code><\/p>\n
 <\/p>\n
Using a stored access policy<\/span><\/p>\n
Stored access policies pozwalaj\u0105 na jeszcze wi\u0119ksz\u0105 kontrol\u0119 przyznawania dost\u0119pu do magazynu przy u\u017cyciu token\u00f3w SAS. Przy u\u017cyciu stored access policy po wygenerowaniu tokena SAS mo\u017cesz dodatkowo:<\/p>\n