Azure CLI存储数据平面命令认证机制详解-CSDN博客

Azure CLI存储数据平面命令认证机制详解

azure-cli Azure Command-Line Interface 项目地址: https://gitcode.com/gh_mirrors/az/azure-cli

前言

在Azure云平台操作中，认证机制是确保操作安全性的关键环节。本文将深入解析Azure CLI中存储数据平面命令的认证方式，帮助开发者理解不同认证场景下的最佳实践。

控制平面与数据平面概念

Azure操作可分为两大类：

控制平面操作：通过Azure资源管理器(ARM)管理资源，如创建、删除存储账户
数据平面操作：直接与存储服务交互，如上传/下载Blob、管理队列消息

数据平面命令需要直接向存储服务发送请求，因此需要特定的认证凭据。

主要认证方式

1. Azure Active Directory集成认证

适用场景：企业级身份管理，需要精细的权限控制

通过--auth-mode login参数，CLI会使用Azure AD返回的OAuth令牌进行认证。这是推荐的企业级认证方式，优势包括：

支持基于角色的访问控制(RBAC)
可集成多因素认证
令牌自动刷新机制

# 使用AAD令牌获取Blob属性
az storage blob show \
    --name $blobName \
    --container-name $containerName \
    --account-name $accountName \
    --auth-mode login

2. 共享密钥认证

适用场景：脚本自动化、快速测试环境

提供存储账户访问密钥(--account-key)或包含密钥的连接字符串(--connection-string)进行认证。这种方式直接使用账户主密钥，需谨慎管理。

# 获取存储账户密钥
accountKey=$(az storage account keys list \
    --account-name $accountName \
    --resource-group $rgName \
    --query "[0].value" -o tsv)

# 使用密钥直接认证
az storage blob show \
    --name $blobName \
    --container-name $containerName \
    --account-name $accountName \
    --account-key $accountKey

# 或使用连接字符串方式
connectionString="DefaultEndpointsProtocol=https;AccountName=${accountName};AccountKey=${accountKey}"
az storage blob show \
    --name $blobName \
    --container-name $containerName \
    --connection-string $connectionString

3. 共享访问签名(SAS)认证

适用场景：临时访问授权、最小权限分配

SAS令牌提供有时间限制和权限细分的访问控制，比共享密钥更安全。

# 生成Blob服务的SAS令牌
sasToken=$(az storage blob generate-sas \
    --name $blobName \
    --container-name $containerName \
    --account-name $accountName \
    --permissions r \
    --expiry "2023-12-31T23:59Z" \
    --output tsv)

# 使用SAS令牌认证
az storage blob show \
    --name $blobName \
    --container-name $containerName \
    --account-name $accountName \
    --sas-token $sasToken

# 或使用SAS连接字符串
connectionString="BlobEndpoint=https://${accountName}.blob.core.windows.net;SharedAccessSignature=${sasToken}"
az storage blob show \
    --name $blobName \
    --container-name $containerName \
    --connection-string $connectionString