Chữ ký truy cập dùng chung (SAS)

Triển khai bảo mật Azure cho nhà phát triển

Anushika Agarwal

Cloud Data Engineer

SAS là gì?

  • Cấp quyền truy cập hạn chế tới tài nguyên lưu trữ
  • Không lộ khóa tài khoản lưu trữ

SAS

Triển khai bảo mật Azure cho nhà phát triển

Ví von: SAS như token máy bán hàng

  • Token hợp lệ trong thời gian giới hạn (vd: 30 giây)

  • Token chỉ cho phép một hành động cụ thể (vd: một lon Coca-Cola)

Ví dụ máy bán hàng dùng SAS

Triển khai bảo mật Azure cho nhà phát triển

SAS được bảo mật như thế nào?

  • Ký bằng khóa tài khoản lưu trữ

Storage Account key

  • Hoặc bằng Microsoft Entra ID

Microsoft Entra ID

Triển khai bảo mật Azure cho nhà phát triển

Các loại SAS

  • User delegation SAS
    • Dùng thông tin xác thực Entra của Microsoft
    • Hoạt động với Blob và Data Lake Storage

SAS Tokens

  • Service SAS
    • Dùng khóa tài khoản lưu trữ
    • Truy cập một dịch vụ: Blob, Queue, Table, hoặc File
  • Account SAS
    • Dùng khóa tài khoản lưu trữ
    • Truy cập nhiều dịch vụ
    • Thao tác cấp dịch vụ
Triển khai bảo mật Azure cho nhà phát triển

Kịch bản thực tế

  • Kịch bản:

    • PeopleSphere chia sẻ báo cáo lương với kiểm toán viên bên ngoài

  • Loại SAS: User Delegation SAS

  • Truy cập theo phạm vi:

    • Kiểm toán viên chỉ xem báo cáo cần thiết

  • Giới hạn thời gian:

    • Hết hạn tự động

  • Xác thực an toàn:

    • Dùng thông tin xác thực Azure của PeopleSphere

User Delegation SAS

Triển khai bảo mật Azure cho nhà phát triển

Hiểu cấu trúc SAS

Thành phần của SAS

  1. URI - Đường dẫn tài nguyên
  2. Token - Quy tắc truy cập & chữ ký

SAS Token

Triển khai bảo mật Azure cho nhà phát triển

Thành phần token

SAS Token

  • sp: Quyền (vd: r = đọc, w = ghi)
  • st / se: Thời gian bắt đầu và hết hạn
  • spr: Giao thức (vd: chỉ https)
  • sr: Loại tài nguyên (b = blob, f = file)
  • sv: Phiên bản API Storage
  • sig: Chữ ký để xác thực
Triển khai bảo mật Azure cho nhà phát triển

Thực hành tốt khi dùng SAS

  • Luôn dùng HTTPS

  • Ưu tiên User Delegation SAS
  • Đặt thời gian hết hạn ngắn

Short Expiry

  • Cấp quyền tối thiểu cần thiết

Grant Least Access

  • Tránh dùng SAS cho truy cập rủi ro cao

Highly sensitive data

Triển khai bảo mật Azure cho nhà phát triển

Ayo berlatih!

Triển khai bảo mật Azure cho nhà phát triển

Preparing Video For Download...