Japan Azure PaaS Support Team

Storage アカウント SAS の作成手順 (Azure Portal, Azure Storage Explorer, PowerShell, Azure CLI)

11 minute read

はじめに

お客様が Shared Access Signatures ( SAS ) をご利用になる際には SAS トークンを取得する必要があります。

なお前提として、権限は最小特権の原則に従うべきものとなります。
ご参考： SAS を使用する際のベスト プラクティス

Shared Access Signatures ( SAS ) とは

Shared Access Signature ( SAS ) とは、ストレージ アカウント内のリソースへのセキュリティで保護された、署名された URL を介した制限付きの委任アクセス機能です。 SAS を使用すると、クライアントがデータにアクセスする方法をきめ細かく制御できます。 なお、SAS トークンは以下の 3 つの種類がございます。

ご参考：Shared Access Signatures (SAS) でデータの制限付きアクセスを付与する

この Blog 記事は アカウント SAS について、Azure Portal、Azure Storage Explorer、PowerShell、Azure CLI を使用した 4 通りの作成方法を紹介します。

アカウント SAS とは

アカウント SAS は、アカウント アクセス キーを使用して署名されます。 ストレージ アカウント全体へのアクセスを委任 します。

他の SAS との違いかつアカウント SAS の大きな特徴には以下の 2 点が挙げられます。

SAS 利用上のご注意

  • SAS トークンの保存について SAS トークンは、Azure Storage によって追跡されません。お客様側で計算して生成される署名文字列です。そのため、ウィンドウが閉じられると SAS トークンの値は取得できなくなるため、お客様にて生成された値をコピーして安全な場所に保存しておく必要があります。
  • SAS URL について SAS URL を作成するには、SAS トークン ( URI ) をストレージ サービスのリソース URL に追加します。作成時に各プラットホームから返される SAS トークンには、URL クエリ文字列に必要な区切り文字 ( “?” ) が含まれていません。SAS URL を作成する際は、必ずリソース URL と SAS トークンの間に区切り文字を追加してください。
  • SAS の失効について 有効な SAS を所有するすべてのクライアントは、その SAS で許可されているストレージ アカウントのデータにアクセスできます。 SAS を悪意のある、または意図しない用途から保護することが重要です。 SAS の配布は慎重に行い、侵害された SAS を失効させるための計画を用意しておいてください。

アカウント SAS の作成を行う際に設定する主なパラメータについて

アカウント SAS の作成に際しては、主に下記のパラメータを使用します。

  • 使用できるサービス ( Available Services )： SAS がアクセスを許可するストレージ サービスを指定します。Blob ( b ) 、File ( f ) 、Queue ( q ) 、Table ( t ) のいずれか、または複数を選択できます。 Azure Portal、Azure Storage Explorer、PowerShell、Azure CLI で設定が必須です。

  • 使用できるリソースの種類 ( Resource Types )： SAS がアクセスを許可するリソースの種類を指定します。Service ( s ) 、Container ( c ) 、Object ( o ) のいずれか、または複数を選択できます。 Azure Portal、Azure Storage Explorer、PowerShell、Azure CLI で設定が必須です。

  • アクセス許可 ( Permissions ) ： SAS が許可する操作を指定します。読み取り ( r ) 、書き込み ( w ) 、削除 ( d ) 、リスト表示 ( l ) 、追加 ( a ) 、作成 ( c ) 、更新 ( u ) 、処理 ( p ) などの操作を選択できます。

  • BLOB バージョン管理のアクセス許可 ( Blob Versioning Permissions )： SAS が許可する Blob バージョンの操作を指定します。Blob バージョニングは、オブジェクトの以前のバージョンを自動的に保持するために Blob ストレージのバージョニングを有効にすることができます。Blob バージョニングが有効になっている場合、Blob が変更または削除された場合にデータを復元するために以前のバージョンの Blob にアクセスできます。

  • 許可された BLOB インデックスのアクセス許可 ( Allowed Blob Indexing Permissions ) ： SAS が許可する Blob インデックスの操作を指定します。特定の Blob インデックスに対する読み取り、書き込み、削除などの操作を制御します。

  • 開始日時と有効期限の日時 ( Start and Expiry Date-Time ) ： SAS トークンの有効期間を定義します。開始日時と終了日時を設定できます。指定を省略した場合は、それぞれの作成方法でデフォルトの有効期限が設定されます。Azure CLI のみ終了日時の設定が必須です。
  • 使用できる IP アドレス ( Allowed IP Addresses ) ： SAS を使用できる IP アドレスを指定します。 ただし、パブリック IP アドレスのみ設定可能、Azure リソースからのアクセスの場合は異なるリージョンのパブリック IP アドレスであることにご留意ください。

  • 許可されるプロトコル ( Allowed Protocols ) ： SAS トークンを HTTPS プロトコルのみで使用できるようにする場合は、このフラグを指定します。 SAS を使用できるプロトコルを指定します。「 HTTPS のみ」または「 HTTPS と HTTP 」を選択できます。

  • 署名キー ( Signing Key ) ： SAS トークンの生成と検証に使用されます。key1 または key2 のどちらかを指定します。

  • 暗号化スコープ ( Encryption-scope ) ： サービス上のデータを暗号化するために使用される定義済みの暗号化スコープです。PowerShell、Azure CLI のみ使用可能です。

アカウント SAS の作成手順

下記では以下の4つの条件を許可する設定の例をご案内します。

  • ストレージ アカウント内の Blob に対して
  • 使用できるリソースの種類はオブジェクト のみ
  • 読み取りのみ、
  • 有効期限が「現在～ 30 分後」

Azure Portal を使用してアカウント SAS を作成する

(1) Azure Portalにログインし、ポータル上部の検索欄に該当のストレージ アカウント名を入力・検索し、選択します。

(2) 左側のメニューから「 Shared Access Signature 」を選択します。 image-3ce44da6-8318-4030-a5eb-984cc4b2bdab.png

(3) 「 Shared Access Signature 」ブレードが開きます。 特定のストレージ サービスやリソースへのアクセス許可を制御する設定をします。 開始日時と有効期限の日時はデフォルトで現在時刻から 8 時間後までとなります。必要に応じてご変更ください。 image-caecc0e7-6ba6-4842-bd60-64a7cce60c71.png

(4) 「 SAS と接続文字列を生成する」を押下します。 image-e184f7a2-cc95-420b-abbf-f59bd8d397cd.png

(5) SAS トークンが生成されます。 image-d71fe66b-68f1-44a8-a6cd-1b3365cdac06.png

Azure Storage Explorer を使用してアカウント SAS を作成する

(1) Azure Storage Explorer を起動します。

(2) 左側のパネルで対象のストレージ アカウントを右クリックし、「 Shared Access Signatureの取得… 」を選択します。 image-b7730612-7c7e-4c61-b825-7b7f5e4a0181.png

(3) Shared Access Signature ダイアログ ボックスが表示されます。 特定のストレージ サービスやリソースへのアクセス許可を制御する設定をします。 開始日時と有効期限の日時はデフォルトで現在時刻から 24 時間後までとなります。 image-e5990e88-aaee-4729-8581-64c6c49b1de9.png

(4) 「作成」を押下します。 image-d63e4e01-b857-4b9f-928a-53e166055ba8.png

(5) SAS トークンが生成されます。 image-a7c415c3-df88-4122-a25c-fc776f8b577f.png

PowerShell を使用してアカウント SAS を作成する

(1) サブスクリプションへ接続します。


Connect-AzAccount -Subscription <Subscription Id>

(2) SAS トークンの作成に必要な各種パラメータの変数を設定していきます。


$storageAccount = Get-AzStorageAccount `
    -ResourceGroupName "<resource-group>" `
    -Name "<storage-account>"
$services = "Blob"
$resourceTypes = "Object"
$permissions ="r"
$startTime = Get-Date
$expiryTime = $startTime.AddMinutes(30)

(3) SAS トークンを作成します。


New-AzStorageAccountSASToken `
   -Service $services `
   -ResourceType $resourceTypes `
   -Permission $permissions `
   -StartTime $startTime `
   -ExpiryTime $expiryTime `
   -Context $storageAccount.Context

(4) 上記を実行すると SAS トークンが表示されます。 image-c57ac90e-8b67-4a8f-816a-5fd433cf7bfc.png

また、本コマンドを変数に格納することで後から容易に SAS トークンを確認することが可能となります。


$sas = New-AzStorageAccountSASToken `
    -Service $services `
    -ResourceType $resourceTypes `
    -Permission $permissions `
    -StartTime $startTime `
    -ExpiryTime $expiryTime `
    -Context $storageAccount.Context

SAS トークンの表示は「 $sas 」を入力します。

Azure CLI を使用してアカウント SAS を作成する

(1) Azure にログインします。


az login

(2) サブスクリプションへ接続します。


az account set --subscription <Subscription Id>

(3) SAS トークンの作成に必要な各種パラメータの変数を設定していきます。


resourceGroup="<resource-group>"
storageAccount="<storage-account>"
services="b"
resourceTypes="o"
permissions="r"
expiry=$(date -u -d "30 minutes" '+%Y-%m-%dT%H:%MZ')
  • 上記では省略されているパラメータもご利用可能です。

(4) ストレージ アカウントの接続文字列を取得します。


connectionString=$(az storage account show-connection-string \
    --name $storageAccount \
    --resource-group $resourceGroup \
    --output tsv)

(5) SAS トークンを作成します。


az storage account generate-sas \
    --connection-string $connectionString \
    --services $services \
    --resource-types $resourceTypes \
    --permissions $permissions \
    --expiry $expiry \
    --https-only

(6) 生成された SAS トークンが表示されます。 image-29c34067-597f-46b1-a540-747bd226eb5e.png

SAS を使用する

上記の手順で作成した SAS トークンの簡単な使い方をご案内いたします。

(1) 該当のBLOBのURLを取得します。 image-af21a938-8e19-4728-a273-ba0d6572c274.png

(2) ブラウザのアドレス欄に、コピーしたURLに区切り文字「 ? 」および SAS トークンを加えた文字列を入力し、BLOBにアクセスします。

ブラウザのアドレス欄には以下のような内容を貼り付けています。 image-86ba456f-3430-479e-b02f-b57f71037121.png

image-de574f43-8cf1-4214-ac54-c6f18aa978f4.png



2024 年 02 月 26 日時点の内容となります。
本記事の内容は予告なく変更される場合がございますので予めご了承ください。



タグ:

更新日時:

関連記事

Azure Cache for Redis の最小 TLS バージョンの確認、変更方法

11 minute read

はじめに トランスポート層セキュリティ (TLS) バージョン 1.2 以降の排他的使用に向けた業界全体の推進活動に対応するために、Azure Cache for Redis は、2025 年 3 月に TLS 1.2 の使用を求める方向に進んでいます。 TLS バージョン 1.0 と 1.1 は、BEAST...