北京
你的應用代碼里是不是還硬編碼著存儲賬戶的訪問密鑰？每次部署前都要反復檢查有沒有不小心把密鑰提交到公開倉庫。Azure提供了一套機制，讓你徹底擺脫這些明文憑證，同時給關鍵業務數據加上一道防篡改的護身符。
這套組合拳由三個部件構成：托管標識負責身份認證，基于角色的訪問控制劃定操作邊界，不可變存儲策略則確保寫入的數據在保護期內無法被修改或刪除。三件事指向同一個目標——把你的存儲環境從"誰拿到密鑰誰說了算"，變成"只有經過授權的身份才能做被允許的事"。
先弄清楚兩個核心概念。托管標識讓Azure資源在請求其他服務時，不需要在代碼里塞任何憑證。應用程序運行時自動獲得一個身份，用這個身份去證明"我是我"。而基于角色的訪問控制回答的是另一個問題：這個身份到底能做什么？它能列出容器里的文件，還是能直接刪除整個存儲賬戶？權限粒度由你來定。兩者配合，硬編碼的密鑰就可以從代碼庫中消失了，權限集中管理，符合最小權限原則。
搭建這樣一套環境需要幾步準備工作。你得有一個Azure賬戶和有效的訂閱，能穩定聯網，并且能登錄Azure門戶。準備好之后，我們從創建存儲賬戶開始。
在門戶中搜索并選擇"存儲賬戶"，點擊創建。資源組可以新建一個，給個容易識別的名稱。存儲賬戶名必須全局唯一，符合Azure的命名規范。切到"加密"選項卡時，勾選"啟用基礎設施加密"。注意那個警告提示——這個選項一旦創建后就無法更改，確認之前想清楚。設置完成后選擇"審閱并創建"，等待部署完成。
接下來創建托管標識。搜索"托管標識"進入服務頁面，選擇創建，把標識放在剛建好的資源組里，給它起個名字，然后審閱并創建。這個標識會分配給Web應用使用，應用借此獲得身份，不用再手動管理任何密鑰字符串。
標識建好了，但它現在什么權限都沒有。你需要精準授權：這個標識只需要讀取和列出容器與Blob的能力，多一分都不要。進入存儲賬戶的"訪問控制"邊欄選項卡，選擇"添加角色分配"。在作業函數角色頁面搜索并選中"存儲Blob數據讀取者"，這個角色恰好滿足只讀加列表的需求。進入成員頁面，選擇"托管標識"，在成員篩選下拉框中找到"用戶分配的托管標識"，選中剛創建的那個標識，確認選擇并完成分配。
現在這套環境的基礎骨架搭好了：存儲賬戶用于存放數據，托管標識提供無密鑰的身份認證，RBAC角色分配把權限收緊到只讀級別。如果你還需要保護某些記錄不被篡改——比如合規要求的審計日志——下一步可以配置不可變Blob存儲策略。這項策略在保留期內鎖定數據，任何覆蓋或刪除操作都會被拒絕，等于給關鍵資產加了一層物理級別的寫保護。
把憑證從代碼里抽走，把權限關進角色分配的籠子里，再把核心數據鎖進不可變策略的時間窗口——這三步走完，你的存儲環境就從一個依賴密鑰共享的開放狀態，遷移到了以身份為邊界的受控架構。所有操作記錄可追蹤，權限可隨時回收，密鑰泄露的風險也不再成立。
特別聲明：以上內容(如有圖片或視頻亦包括在內)為自媒體平臺“網易號”用戶上傳并發布，本平臺僅提供信息存儲服務。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
