Blob Storage の Azure ロールの割り当て条件の例

Azure portal ビジュアル エディターを使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、BLOB インデックス タグをチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
Get-AzStorageBlob -Container <containerName> -Blob <blobName> -Context $bearerCtx 

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] StringEquals 'Cascade'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] StringEquals 'Cascade'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Project'='Baker'}
$grantedTag = @{'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example2 -Blob "Example2.txt" -Tag $grantedTag -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAllOfAnyValues:StringEquals {'Project', 'Program'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$localSrcFile = # path to an example file, can be an empty txt
$ungrantedTag = @{'Mode'='Baker'}
$grantedTag = @{'Program'='Alpine';'Project'='Cascade'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
$content = Set-AzStorageBlobContent -File $localSrcFile -Container example3 -Blob "Example3.txt" -Tag $grantedTag -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&$keys$&] ForAnyOfAnyValues:StringEquals {'Project'}
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags/write'})) OR (@Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags&`$keys`$&] ForAnyOfAnyValues:StringEquals {'Project'} AND @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<`$key_case_sensitive`$>] ForAllOfAnyValues:StringEquals {'Cascade', 'Baker', 'Skagit'}))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$localSrcFile = <pathToLocalFile>
$ungrantedTag = @{'Project'='Alpine'}
$grantedTag1 = @{'Project'='Cascade'}
$grantedTag2 = @{'Project'='Baker'}
$grantedTag3 = @{'Project'='Skagit'}
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# try ungranted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $ungrantedTag -Context $bearerCtx
# try granted tags
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag1 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag2 -Context $bearerCtx
Set-AzStorageBlobTag -Container example4 -Blob "Example4.txt" -Tag $grantedTag3 -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$localSrcFile = <pathToLocalFile>
$grantedContainer = "blobs-example-container"
$ungrantedContainer = "ungranted"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Ungranted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $ungrantedContainer -Blob "Example5.txt" -Context $bearerCtx
# Granted Container actions
$content = Set-AzStorageBlobContent -File $localSrcFile -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx
$content = Remove-AzStorageBlob -Container $grantedContainer -Blob "Example5.txt" -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

ストレージ BLOB データ閲覧者、 ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、コンテナー名とパスをチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'readonly/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$grantedContainer = "blobs-example-container"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "Ungranted.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "readonly/Example6.txt" -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

ストレージ BLOB データ閲覧者、 ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringStartsWith 'readonly/'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'blobs-example-container'
  AND
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:prefix] StringStartsWith 'readonly/'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp'
  AND
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) AND !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'contosocorp' AND @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'uploads/contoso/*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$grantedContainer = "contosocorp"
$localSrcFile = <pathToLocalFile>
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to set ungranted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "Example7.txt" -Context $bearerCtx -File $localSrcFile
# Try to set granted blob
$content = Set-AzStorageBlobContent -Container $grantedContainer -Blob "uploads/contoso/Example7.txt" -Context $bearerCtx -File $localSrcFile

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<$key_case_sensitive$>] StringEquals 'Alpine'
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、BLOB インデックス タグとパスをチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Program<`$key_case_sensitive`$>] StringEquals 'Alpine')) AND ((!(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})) OR (@Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:path] StringLike 'logs*'))"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

この条件をテストする方法は次のとおりです。

$grantedContainer = "contosocorp"
# Get new context for request
$bearerCtx = New-AzStorageContext -StorageAccountName $storageAccountName
# Try to get ungranted blobs
# Wrong name but right tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "AlpineFile.txt" -Context $bearerCtx
# Right name but wrong tags
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logsAlpine.txt" -Context $bearerCtx
# Try to get granted blob
$content = Get-AzStorageBlobContent -Container $grantedContainer -Blob "logs/AlpineFile.txt" -Context $bearerCtx

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ リーダー

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
)"
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用してこの条件を追加する方法を次に示します。

$condition = "( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/metadata:testKey] StringEquals 'testValue' `
 ) `
) `
$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

ストレージ BLOB データ閲覧者、 ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、バージョンをチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeEquals '2022-06-01T23:38:32.8883645Z'
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、バージョン情報をチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/deleteBlobVersion/action'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:versionId] DateTimeLessThan '2022-06-01T00:00:00.0Z'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

ストレージ BLOB データ閲覧者、 ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  Exists @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:snapshot]
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:isCurrentVersion] BoolEquals true
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、バージョンとスナップショットの情報をチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ リーダー

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAnyValues:StringEqualsIgnoreCase {'metadata', 'snapshots', 'versions'}
 )
)

この例では、サブ操作が Blob.Listされたときに、条件によって読み取りアクションが制限されます。 つまり、 リスト BLOB 操作は、 include 値をチェックする式に対してさらに評価されますが、他のすべての読み取りアクションは許可されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ リーダー

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs:include] ForAllOfAllValues:StringNotEquals {'metadata'}
 )
)

この例では、サブ操作が Blob.Listされたときに、条件によって読み取りアクションが制限されます。 つまり、 リスト BLOB 操作は、 include 値をチェックする式に対してさらに評価されますが、他のすべての読み取りアクションは許可されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

ストレージ BLOB データ閲覧者、 ストレージ BLOB データ共同作成者

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:isHnsEnabled] BoolEquals true
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、階層型名前空間をチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'validScope1', 'validScope2'}
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、暗号化スコープをチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts:name] StringEquals 'sampleaccount'
  AND
  @Resource[Microsoft.Storage/storageAccounts/encryptionScopes:name] ForAnyOfAnyValues:StringEquals {'ScopeCustomKey1'}
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)
AND
(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'} AND SubOperationMatches{'Blob.Write.WithTagHeaders'})
 )
 OR 
 (
  @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project] StringEquals @Request[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>]
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

Azure portal を使用してこの条件を追加する設定を次に示します。

コード エディターを使用して条件を追加するには、条件コード サンプルをコピーしてコード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR 
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:Project<$key_case_sensitive$>] ForAnyOfAnyValues:StringEquals @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:Engineering_Project]
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは、BLOB インデックス タグとカスタム セキュリティ属性をチェックする式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

現在、例は提供されていません。

アクションを追加する

アクションを追加 を選択し、その後、次に示す表のように BLOB を読み取る サブ操作のみを選択します。

次の図に示すように、[ すべての読み取り操作 ] アクションまたはその他のサブ操作を最上位レベルで選択しないでください。

式の作成

次の表の値を使用して、条件の式部分を作成します。

設定	価値
Attribute source (属性ソース)	資源
特性	コンテナー名
オペレーター	StringEquals
価値	container1
論理演算子	'AND'
Attribute source (属性ソース)	環境
特性	UtcNow
オペレーター	DateTimeGreaterThan
価値	2023-05-01T13:00:00.000Z

次の図は、Azure portal に設定が入力された後の条件を示しています。 正しい評価を確実に行うには、式をグループ化する必要があります。

コード エディターを使用して条件を追加するには、次の条件コード サンプルをコピーし、コード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

( 
 ( 
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) 
 ) 
 OR  
 ( 
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
  AND 
  @Environment[UtcNow] DateTimeGreaterThan '2023-05-01T13:00:00.000Z' 
 ) 
) 

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用して 、ストレージ BLOB データ閲覧者 ロールにこの条件を追加する方法を次に示します。

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$dateTime = "2023-05-01T13:00:00.000Z"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[UtcNow] DateTimeGreaterThan '$dateTime' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

アクションを追加する

[ アクションの追加] を選択し、次の表に示す最上位レベルのアクションのみを選択します。

次の図に示すように、個々のサブ操作を選択しないでください。

式の作成

次の表の値を使用して、条件の式部分を作成します。

設定	価値
Attribute source (属性ソース)	資源
特性	コンテナー名
オペレーター	StringEquals
価値	container1
論理演算子	'AND'
Attribute source (属性ソース)	環境
特性	サブネット
オペレーター	StringEqualsIgnoreCase
価値	/subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default

次の図は、Azure portal に設定が入力された後の条件を示しています。 正しい評価を確実に行うには、式をグループ化する必要があります。

コード エディターを使用して条件を追加するには、次の条件コード サンプルをコピーし、コード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name]StringEquals 'container1'
  AND
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/virtualNetworks/virtualnetwork1/subnets/default'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用して 、ストレージ BLOB データ共同作成者 ロールにこの条件を追加する方法を次に示します。

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$vnetName = "virtualnetwork1"
$subnetName = "default"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
 !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR ` 
 ( `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
  AND `
  @Environment[Microsoft.Network/virtualNetworks/subnets] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/virtualNetworks/$vnetName/subnets/$subnetName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Azure portal のビジュアル条件エディターを使用してこの条件を追加する設定を次に示します。

アクションを追加する

アクションを追加 を選択し、その後、次に示す表のように BLOB を読み取る サブ操作のみを選択します。

次の図に示すように、他のサブ操作の最上位レベル の [すべての読み取り操作 ] アクションを選択しないでください。

式の作成

次の表の値を使用して、条件の式部分を作成します。

グループ	設定	価値
グループ #1
	Attribute source (属性ソース)	資源
	特性	Blob index tags [Values in key] (BLOB インデックス タグ [キー内の値])
	鍵	sensitivity
	オペレーター	StringEquals
	価値	high
	論理演算子	'AND'
	Attribute source (属性ソース)	環境
	特性	プライベート リンク
	オペレーター	BoolEquals
	価値	True
第1グループの終了
	論理演算子	'OR'
	Attribute source (属性ソース)	資源
	特性	Blob index tags [Values in key] (BLOB インデックス タグ [キー内の値])
	鍵	sensitivity
	オペレーター	StringNotEquals
	価値	high

次の図は、Azure portal に設定が入力された後の条件を示しています。 正しい評価を確実に行うには、式をグループ化する必要があります。

コード エディターを使用して条件を追加するには、次の条件コード サンプルをコピーし、コード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringEquals 'high'
   AND
   @Environment[isPrivateLink] BoolEquals true
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用して 、ストレージ BLOB データ閲覧者 ロールにこの条件を追加する方法を次に示します。

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringEquals 'high' `
   AND `
   @Environment[isPrivateLink] BoolEquals true `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Azure portal のビジュアル条件エディターを使用してこの条件を追加する設定を次に示します。

アクションを追加する

[ アクションの追加] を選択し、次の表に示す最上位レベルのアクションのみを選択します。

次の図に示すように、個々のサブ操作を選択しないでください。

式の作成

次の表の値を使用して、条件の式部分を作成します。

グループ	設定	価値
グループ #1
	Attribute source (属性ソース)	資源
	特性	コンテナー名
	オペレーター	StringEquals
	価値	container1
	論理演算子	'AND'
	Attribute source (属性ソース)	環境
	特性	プライベート エンドポイント
	オペレーター	StringEqualsIgnoreCase
	価値	/subscriptions/<your subscription id>/resourceGroups/<resource group name>/providers/Microsoft.Network/privateEndpoints/privateendpoint1
第1グループの終了
	論理演算子	'OR'
	Attribute source (属性ソース)	資源
	特性	コンテナー名
	オペレーター	StringNotEquals
	価値	container1

次の図は、Azure portal に設定が入力された後の条件を示しています。 正しい評価を確実に行うには、式をグループ化する必要があります。

コード エディターを使用して条件を追加するには、割り当てに関連付けられているロールに応じて、次の条件コード サンプルのいずれかを選択します。 コードを入力したら、ビジュアル エディターに戻って検証します。

ストレージ BLOB データ所有者:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/runAsSuperUser/action'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

ストレージ BLOB データ共同作成者:

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'})
  AND
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'})
 )
 OR
 (
  (
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals 'container1'
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals 'container1'
 )
)

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用して 、ストレージ BLOB データ共同作成者 ロールにこの条件を追加する方法を次に示します。

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Contributor"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$containerName = "container1"
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/add/action'}) `
  AND `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete'}) `
 ) `
 OR `
 ( `
  ( `
   @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringEquals '$containerName' `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers:name] StringNotEquals '$containerName' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru

Azure portal のビジュアル条件エディターを使用してこの条件を追加する設定を次に示します。

アクションを追加する

アクションを追加 を選択し、その後、次に示す表のように BLOB を読み取る サブ操作のみを選択します。

次の図に示すように、最上位レベルのアクションを選択しないでください。

式の作成

次の表の値を使用して、条件の式部分を作成します。

次の図は、Azure portal に設定が入力された後の条件を示しています。 正しい評価を確実に行うには、式をグループ化する必要があります。

コード エディターを使用して条件を追加するには、次の条件コード サンプルをコピーし、コード エディターに貼り付けます。 コードを入力したら、ビジュアル エディターに戻って検証します。

(
 (
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'})
 )
 OR
 (
  (
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>]
   AND
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/<your subscription id>/resourceGroups/example-group/providers/Microsoft.Network/privateEndpoints/privateendpoint1'
  )
  OR
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<$key_case_sensitive$>] StringNotEquals 'high'
 )
)

この例では、サブ操作が Blob.Listされている場合を除き、条件によって読み取りアクションが制限されます。 つまり、リスト BLOB 操作は許可されますが、他のすべての読み取りアクションは式に対してさらに評価されます。

ユーザーが割り当てられたロールで、条件によって制限されたアクション ではない アクションを実行しようとすると、 !(ActionMatches) は true に評価され、全体的な条件は true に評価されます。 この結果により、アクションを実行できます。

条件の書式設定と評価方法の詳細については、「 条件の形式」を参照してください。

Azure PowerShell を使用して 、ストレージ BLOB データ閲覧者 ロールにこの条件を追加する方法を次に示します。

$subId = "<your subscription id>"
$rgName = "<resource group name>"
$storageAccountName = "<storage account name>"
$roleDefinitionName = "Storage Blob Data Reader"
$userUpn = "<user UPN>"
$userObjectID = (Get-AzADUser -UserPrincipalName $userUpn).Id
$privateEndpointName = "privateendpoint1"
$scope = "/subscriptions/$subId/resourceGroups/$rgName/providers/Microsoft.Storage/storageAccounts/$storageAccountName"

$condition = `
"( `
 ( `
  !(ActionMatches{'Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read'} AND NOT SubOperationMatches{'Blob.List'}) `
 ) `
 OR `
 ( `
  ( `
   @Principal[Microsoft.Directory/CustomSecurityAttributes/Id:sensitivity] StringEqualsIgnoreCase @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] `
   AND `
   @Environment[Microsoft.Network/privateEndpoints] StringEqualsIgnoreCase '/subscriptions/$subid/resourceGroups/$rgname/providers/Microsoft.Network/privateEndpoints/$privateEndpointName' `
  ) `
  OR `
  @Resource[Microsoft.Storage/storageAccounts/blobServices/containers/blobs/tags:sensitivity<`$key_case_sensitive`$>] StringNotEquals 'high' `
 ) `
)"

$testRa = Get-AzRoleAssignment -Scope $scope -RoleDefinitionName $roleDefinitionName -ObjectId $userObjectID
$testRa.Condition = $condition
$testRa.ConditionVersion = "2.0"
Set-AzRoleAssignment -InputObject $testRa -PassThru