Azure portal で BLOB データへのアクセスの承認方法を選択する

Azureポータルを使ってBlobデータにアクセスすると、ポータルがあなたの代わりにAzure Storageにリクエストを送ります。 Microsoft Entraアカウントかストレージアカウントのアクセスキーのいずれかを使って、Azure Storageへのリクエストを承認できます。 ポータルではどの方法を使っているかが表示され、適切な権限があれば両方の方法を切り替えることができます。

BLOB データにアクセスするために必要なアクセス許可

AzureポータルでBlobデータへのアクセスをどのように許可するかによって、特定の権限が必要です。 ほとんどの場合、Azure RBACがこれらの権限を提供します。 Azure RBAC の詳細については、「Azure ロールベースのアクセス制御 (Azure RBAC) とは」を参照してください。

アカウント アクセス キーを使用する

アカウント アクセス キーを使用して BLOB データにアクセスするには、Azure RBAC アクション Microsoft.Storage/storageAccounts/listkeys/action を含む Azure ロールが割り当てられていなければなりません。 このAzureロールには、組み込みロールまたはカスタム ロールを指定できます。

次の組み込みロール (アクセス許可の低いものから高いものの順にリストされています) は、Microsoft.Storage/storageAccounts/listkeys/action をサポートしています。

• 閲覧者とデータ アクセス
• ストレージ アカウント共同作成者
• Azure Resource Manager の共同作成者
• Azure Resource Manager の所有者

Azure portal で blob データにアクセスしようとすると、ポータルはまず、Microsoft.Storage/storageAccounts/listkeys/action を含むロールが割り当てられているかどうかを確認します。 このアクションを持つロールがある場合、ポータルはアカウントキーを使ってブロブデータにアクセスします。 このアクションに役割がない場合は、ポータルはあなたのMicrosoft Entraアカウントを使ってデータにアクセスしようとします。

Microsoft Entra アカウントを使用する

Microsoft Entraアカウントを使ってAzureポータルからblobデータにアクセスするには、以下の2つの文があなたにとって正しくなければなりません:

• BLOB データへのアクセスを提供する組み込みロールまたはカスタム ロールが割り当てられている。 組み込みのデータアクセスロールには、 Storage Blob Data Reader、 Storage Blob Data Contributor、 Storage Blob Data Owner があります。
• 少なくともストレージ アカウント以上のレベルを対象として、Azure Resource Manager の閲覧者ロールが割り当てられています。 リーダー役割は最も制限の厳しいアクセス許可を付与しますが、ストレージ アカウントの管理リソースへのアクセス権を付与する別の Azure Resource Manager ロールも受け入れることができます。

Azure Resource Manager Readerの役割は管理平面の役割で、ストレージアカウントのリソースは閲覧できますが、変更はできません。 アカウント管理リソースへのアクセスのみを許可し、Azure Storageのデータにはアクセスできません。 リーダーの役割はAzureポータル内のブロブコンテナにアクセスするために必要ですが、それ自体ではブロブデータへのアクセスを許可しません。 ブロブデータの読み書きには、 ストレージブロブデータリーダー や ストレージブロブデータコントリビューターなどのデータプレーン役割も必要です。

BLOB データへのアクセスをサポートする組み込みロールの詳細については、「Microsoft Entra ID を使用して BLOB へのアクセスを認可する」をご覧ください。

カスタム ロールは、組み込みロールによって提供される同じアクセス許可のさまざまな組み合わせをサポートできます。 Azure カスタム ロールを作成する方法の詳細については、「Azure のカスタム ロール」と「Azure リソースのロール定義の概要」を参照してください。

Azure portal で BLOB に移動する

ポータルでブロブデータを閲覧するには、以下のいずれかの経路を使用します。

• ストレージアカウントの概要ページで、プロパティタブのBlobsタイルを選択してください。
• ストレージアカウントの左側メニューで「 データストレージ」を展開し、「 コンテナ」を選択します。

現在の認証方法の判別

コンテナーに移動すると、Azure portal によって、自分が認証のためにアカウント アクセス キーと Microsoft Entra アカウントのどちらを現在使用しているかが示されます。

アカウント アクセス キーを使用して認証を行う

アカウントアクセスキーを使って認証すると、ポータル上で認証方法として アクセスキー が指定されているのが見えます:

Microsoft Entraアカウントに切り替えるには、前の画像でハイライトされたリンクを選択してください。 割り当てられたAzureロールが適切な権限を与えていれば、進めることができます。 適切なアクセス許可がない場合は、エラー メッセージが表示され、BLOB は一覧に表示されません。

認証に再度アクセス キーを使用するには、[アクセス キーへの切り替え] リンクを選択します。

Microsoft Entra アカウントで認証する

Microsoft Entraアカウントで認証した場合、ポータルで認証方法としてMicrosoft Entraユーザーアカウントが指定されているのが見えます:

アカウントアクセスキーに切り替えるには、前の画像でハイライトされたリンクを選択してください。 アカウントキーにアクセスできれば、進めてください。 アカウント キーへのアクセス権がない場合は、エラー メッセージが表示され、BLOB は一覧に表示されません。

認証に再度 Microsoft Entra アカウントを使用するには、[Microsoft Entra ユーザー アカウントへの切り替え] リンクを選択します。

Azure portal でMicrosoft Entra の認可を規定にする

新しいストレージ アカウントを作成する際には、ユーザーが BLOB データに移動したときの Azure portal の既定値が Microsoft Entra ID による認可となるように指定することができます。 既存のストレージ アカウントに対してこの設定を構成することもできます。 この設定はデフォルトの認可方法のみを指定するため、ユーザーはこの設定を上書きしてアカウントキーでデータアクセスを承認することができます。

ストレージアカウントを作成する際にポータルがデフォルトでMicrosoft Entra認証を使用するには、以下の手順に従ってください:

1. 「ストレージ アカウントの作成」の手順に従い、新しいストレージ アカウントを作成します。

2. [詳細設定] タブの [セキュリティ] セクションで、[Azure portal の Microsoft Entra 認可に既定で設定する] の横にあるチェック ボックスをオンにします。

   

3. [確認と作成] ボタンを選択して検証を実行し、アカウントを作成します。

既存のストレージ アカウントのこの設定を更新するには、次の手順に従います。

1. Azure portal でアカウントの概要に移動します。

2. [設定] の下で [構成] を選択します。

3. [Azure portal で「Microsoft Entra 認可を既定に設定」を「有効」にします]。

   

ストレージ アカウントの defaultToOAuthAuthentication プロパティは既定では未設定であり、それを明示的に設定しない限りは値を返しません。

次のステップ

• Azure Storage 内のデータへのアクセスを認可する
• BLOB データにアクセスするための Azure ロールを割り当てる