如何使用用户委派 SAS 或 Azure RBAC 为 Azure Active Directory B2C 用户（自定义域）授予存储帐户容器的权限？答案

【问题标题】：How use User Delegation SAS Or Azure RBAC to grant permissions on storage account containers for azure active directory B2C users (Custom Domain)?如何使用用户委派 SAS 或 Azure RBAC 为 Azure Active Directory B2C 用户（自定义域）授予存储帐户容器的权限？
【发布时间】：2021-11-21 14:52:20
【问题描述】：

我使用 Azure AD B2C 创建了一个登录模块。 B2C 租户拥有自定义登录页面和自定义域。

我还创建了一个 Azure Blob 存储容器，用于托管我网站的 HTML 文件。

我有一个要求，只有登录的用户才能访问 HTML 文件，其他任何人都不能访问这些文件。

谁能帮助我了解如何向已登录的用户提供对 html 文件的访问权限？

[我知道 StackOverflow 上已经回答了类似的问题。答案中提到在 Azure Active Directory 上创建外部用户并通过 Active Directory 为用户提供访问权限。此方法的唯一问题是自定义域不能用于 Active Directory 的登录页面。我想将此问题添加到现有查询的评论中，但由于声誉低，我无法对该问题添加评论]

【问题讨论】：

标签： azure azure-blob-storage azure-ad-b2c azure-rbac sas-token

【解决方案1】：

• 您可以为使用 Azure AD 凭据登录的所有用户分配“读取者”角色，以读取和访问 Blob 存储的内容。此外，如果您已通过共享密钥授权启用对 blob 存储帐户密钥的访问，则在配置期间必须允许存储帐户的共享密钥访问。

• 此外，您可以将“读取者和数据访问”角色分配给将访问登录页面和访问 Blob 存储内容的所有用户，因为他们将能够查看存储帐户资源，但不能修改它们。它不提供对 Azure 存储中数据的读取权限，而仅提供对帐户管理资源的读取权限。 Reader 角色是必需的，这样用户才能导航到 Azure 门户中的 blob 容器。

• 因此，如果您希望用户对 blob 存储的访问级别越来越高，您可以分别按升序分配“存储帐户参与者”、“ARM 参与者角色”和“ARM 所有者角色”。此外，如果您希望外部用户在有限的时间段内或以持续监控的方式访问 Blob 存储内容，您可以相应地共享 SAS URI 或访问密钥。此外，根据要求分配角色后，您还可以生成 SAS URI 访问令牌以提高安全性。

https://docs.microsoft.com/en-us/azure/storage/blobs/authorize-data-operations-portal

【讨论】：

在回答中，您提到了 Azure Active Directory 的流程。但是，对于 Azure Active Directory，我无法使用具有自定义域的自定义页面进行登录、MFA 或密码重置。所以，我需要使用 Azure Active Directory B2C。您能否解释一下我如何使用 Active Directory b2c 创建用户委托 sas，因为我无法在 b2c 租户上创建存储帐户？
您可以使用 Azure Active Directory 创建用户委托 SAS 令牌，方法是添加您要委派访问权限的相关用户，方法是将该用户添加为默认或租户 Azure Active Directory 中的来宾用户，然后然后为该用户创建一个 SAS 令牌。请点击以下链接了解更多信息：-stackoverflow.com/questions/61719670/…
如何使用自定义登录页面和自定义域名进行登录机制？
当您创建 Azure AD B2C 租户时，您需要提供要与该租户关联的域名，因此该域名将成为您的自定义域名，并且登录页面将仅相应地显示。此外，在订阅中，您可以创建具有不同域的多个租户。
是的，对于我们正在使用的自定义域和登录页面