如何针对 python 中的 Azure 存储 blob 对用户进行身份验证？

Question

我正在寻找一种针对 Azure blob 容器对用户进行身份验证的方法。示例代码（是的，新手提醒）工作得很好，使用存储帐户的访问密钥，但这感觉就像将整个存储帐户的完全控制权交给任何窃取凭据的人一样令人不安。

身份验证示例（来自https://azure.microsoft.com/en-us/resources/samples/storage-python-getting-started/）如下所示：

block_blob_service = BlockBlobService(account_name='<acc>', account_key='<key>')

我在 Active Directory 中设置了一个服务用户，该用户在存储帐户中的角色限制其使用 blob 容器；它的目的只是将新项目写入一个特定的容器中。

我想在 python 脚本中使用该用户的凭据，这样如果它泄漏，就无法访​​问其他存储资源。有没有办法根据资源/ID组合生成访问密钥，或者类似的方式来实现？我一直在浏览 Azure Python API 文档，但没有取得任何进展。

编辑：我取得了一些进展。我创建了一个具有适当 IAM 限制的服务主体。当我调用它时，这似乎登录成功：

credentials = ServicePrincipalCredentials( client_id=<>, secret=<>, tenant=<>)
print(credentials)

这给了我一个对象：

<msrestazure.azure_active_directory.ServicePrincipalCredentials object at 0x7f34f52668d0>

如果我给它不正确的凭据，则会出错。所以，太好了，我有一个凭证对象。怎么办？我找不到将其输入 BlockBlobService 的方法。

Answer 1

您可以参考此article 以从应用程序向 Azure Active Directory 进行身份验证以访问 Blob。

1.Register your application with an Azure AD tenant

2.Grant your registered app permissions to Azure Storage

3.Python代码：

import adal
from azure.storage.blob import (
    BlockBlobService,
    ContainerPermissions,
)
from azure.storage.common import (
    TokenCredential
)

RESOURCE = "https://storage.azure.com/"
clientId = "***"
clientSecret = "***="
tenantId = "***"
authority_url = "https://login.microsoftonline.com/" + tenantId

print(authority_url)
context = adal.AuthenticationContext(authority_url)

token = context.acquire_token_with_client_credentials(
    RESOURCE,
    clientId,
    clientSecret)
print(token)

tokenCre = TokenCredential(token["accessToken"])

blobService = BlockBlobService(account_name="***", token_credential=tokenCre)

blobService.list_blobs(container_name="***")
for i in blobService.list_blobs(container_name="***"):
    print(i.properties.name)