Sdílené přístupové podpisy (SAS)

Implementace zabezpečení Azure pro vývojáře

Anushika Agarwal

Cloud Data Engineer

Co je sdílený přístupový podpis?

  • Uděluje omezený přístup k prostředkům úložiště
  • Nezveřejňuje klíč účtu úložiště

SAS

Implementace zabezpečení Azure pro vývojáře

Analogie: SAS jako token do automatu

  • Token platí po omezenou dobu (např. 30 sekund)

  • Token povoluje pouze konkrétní akci (např. jednu Coca-Colu)

Příklad SAS jako automat

Implementace zabezpečení Azure pro vývojáře

Jak je SAS zabezpečen?

  • Podepsáno klíčem účtu úložiště

Klíč účtu úložiště

  • Nebo pomocí Microsoft Entra ID

Microsoft Entra ID

Implementace zabezpečení Azure pro vývojáře

Typy SAS

  • User Delegation SAS
    • Používá přihlašovací údaje Microsoft Entra
    • Funguje s Blob a Data Lake Storage

Tokeny SAS

  • Service SAS
    • Používá klíč účtu úložiště
    • Přístup k jedné službě: Blob, Queue, Table nebo File
  • Account SAS
    • Používá klíč účtu úložiště
    • Přístup k více službám
    • Operace na úrovni služby
Implementace zabezpečení Azure pro vývojáře

Scénář z praxe

  • Scénář:

    • PeopleSphere sdílí mzdové zprávy s externím auditorem

  • Typ SAS: User Delegation SAS

  • Omezený přístup:

    • Auditor vidí pouze požadované zprávy

  • Časově omezený:

    • Přístup automaticky vyprší

  • Bezpečně ověřený:

    • Přihlašovací údaje Azure PeopleSphere

User Delegation SAS

Implementace zabezpečení Azure pro vývojáře

Struktura SAS

Komponenty SAS

  1. URI – Cesta k prostředku
  2. Token – Přístupová pravidla a podpis

Token SAS

Implementace zabezpečení Azure pro vývojáře

Komponenty tokenu

Token SAS

  • sp: Oprávnění (např. r = čtení, w = zápis)
  • st / se: Čas zahájení a vypršení
  • spr: Protokol (např. pouze https)
  • sr: Typ prostředku (b = blob, f = soubor)
  • sv: Verze rozhraní API úložiště
  • sig: Podpis pro ověření
Implementace zabezpečení Azure pro vývojáře

Osvědčené postupy pro používání SAS

  • Vždy používejte HTTPS

  • Preferujte User Delegation SAS
  • Nastavte krátkou dobu platnosti

Krátká platnost

  • Udělujte minimální oprávnění

Minimální přístup

  • Vyhněte se SAS pro vysoce rizikový přístup

Vysoce citlivá data

Implementace zabezpečení Azure pro vývojáře

Pojďme si procvičit!

Implementace zabezpečení Azure pro vývojáře

Preparing Video For Download...