コンテナーと BLOB 用の匿名読み取りアクセスを構成する

Azure portal でストレージ アカウントの匿名アクセスを許可または禁止するには、次の手順を実行します。

1. Azure Portal のストレージ アカウントに移動します。

2. [設定] から [構成] 設定を探します。

3. [BLOB の匿名アクセスを許可する] を [有効] または [無効] に設定します。

   

PowerShell を使用してストレージ アカウントの匿名アクセスを許可または禁止するには、Azure PowerShell バージョン 4.4.0 以降をインストールします。 次に、新規または既存のストレージ アカウントに AllowBlobPublicAccess プロパティを構成します。

次の例では、ストレージ アカウントを作成し、明示的に AllowBlobPublicAccess プロパティを false に設定しています。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

$rgName = "<resource-group>"
$accountName = "<storage-account>"
$location = "<location>"

# Create a storage account with AllowBlobPublicAccess explicitly set to false.
New-AzStorageAccount -ResourceGroupName $rgName `
    -Name $accountName `
    -Location $location `
    -SkuName Standard_GRS `
    -AllowBlobPublicAccess $false

# Read the AllowBlobPublicAccess property for the newly created storage account.
(Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName).AllowBlobPublicAccess

Azure CLI を使用してストレージ アカウントの匿名アクセスを許可または禁止するには、Azure CLI バージョン 2.9.0 以降をインストールします。 詳細については、「 Azure CLI のインストール」を参照してください。 次に、新規または既存のストレージ アカウントに allowBlobPublicAccess プロパティを構成します。

次の例では、ストレージ アカウントを作成し、明示的に allowBlobPublicAccess プロパティを false に設定しています。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

az storage account create \
    --name <storage-account> \
    --resource-group <resource-group> \
    --kind StorageV2 \
    --location <location> \
    --allow-blob-public-access false

az storage account show \
    --name <storage-account> \
    --resource-group <resource-group> \
    --query allowBlobPublicAccess \
    --output tsv

テンプレートを使用してストレージ アカウントの匿名アクセスを許可または禁止するには、AllowBlobPublicAccess プロパティを true または false に設定してテンプレートを作成します。 次の手順は、Azure portal でテンプレートを作成する方法について説明しています。

1. Azure portal で、 [リソースの作成] を選択します。

2. [Search services and marketplace] (サービスと Marketplace を検索) で「template deployment」と入力し、Enter キーを押します。

3. [Template deployment (deploy using custom templates) (preview)] (テンプレートのデプロイ (カスタム テンプレートを使用してデプロイ))、[作成]、[エディターで独自のテンプレートを作成する] の順に選びます。

4. テンプレート エディターで、次の JSON を貼り付けて新しいアカウントを作成し、AllowBlobPublicAccess プロパティを true または false に設定します。 山かっこ内のプレースホルダーは、実際の値に置き換えてください。

   {
       "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
       "contentVersion": "1.0.0.0",
       "parameters": {},
       "variables": {
           "storageAccountName": "[concat(uniqueString(subscription().subscriptionId), 'template')]"
       },
       "resources": [
           {
           "name": "[variables('storageAccountName')]",
           "type": "Microsoft.Storage/storageAccounts",
           "apiVersion": "2019-06-01",
           "location": "<location>",
           "properties": {
               "allowBlobPublicAccess": false
           },
           "dependsOn": [],
           "sku": {
             "name": "Standard_GRS"
           },
           "kind": "StorageV2",
           "tags": {}
           }
       ]
   }
   

5. テンプレートを保存します。

6. リソース グループ パラメーターを指定し、 [レビューと作成] ボタンを選択してテンプレートをデプロイし、allowBlobPublicAccess プロパティが構成されたストレージ アカウントを作成します。

Azure portal で 1 つ以上の既存のコンテナーの匿名アクセス レベルを更新するには、次の手順を実行します。

1. Azure portal でご利用のストレージ アカウントの概要に移動します。

2. メニュー ブレードの [データ ストレージ] で [コンテナー] を選択します。

3. 匿名アクセス レベルを設定するコンテナーを選択します。

4. [アクセス レベルの変更] ボタンを使用して、匿名アクセス設定を表示します。

5. [匿名アクセス レベル] ドロップダウンから目的の匿名アクセス レベルを選択し、[OK] ボタンを選択して選択したコンテナーに変更を適用します。

   

匿名アクセスがストレージ アカウントで禁止されている場合、コンテナーの匿名アクセス レベルは設定できません。 コンテナーの匿名アクセス レベルを設定しようとすると、匿名アクセスがアカウントで禁止されているため、設定が無効化されます。

PowerShell を使用して 1 つ以上のコンテナーの匿名アクセス レベルを更新するには、Set-AzStorageContainerAcl コマンドを呼び出します。 アカウント キー、接続文字列、または Shared Access Signature (SAS) を渡すことによって、この操作を承認します。 コンテナーの匿名アクセス レベルを設定するコンテナー ACL の設定操作では、Microsoft Entra ID による認可はサポートされていません。 詳細については、「Blob および queue データ操作を呼び出す権限」を参照してください。

次の例では、匿名アクセスが無効なコンテナーを作成した後、コンテナーの匿名アクセス設定を更新してコンテナーとその BLOB への匿名アクセスを許可します。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

# Set variables.
$rgName = "<resource-group>"
$accountName = "<storage-account>"
# Get context object.
$storageAccount = Get-AzStorageAccount -ResourceGroupName $rgName -Name $accountName
$ctx = $storageAccount.Context
# Create a new container with anonymous access setting set to Off.
$containerName = "<container>"
New-AzStorageContainer -Name $containerName -Permission Off -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx
# Update the container's anonymous access setting to Container.
Set-AzStorageContainerAcl -Container $containerName -Permission Container -Context $ctx
# Read the container's anonymous access setting.
Get-AzStorageContainerAcl -Container $containerName -Context $ctx

匿名アクセスがストレージ アカウントで禁止されている場合、コンテナーの匿名アクセス レベルは設定できません。 コンテナーの匿名アクセス レベルを設定しようとすると、匿名アクセスがストレージ アカウント上で許可されていないことを知らせるエラーが Azure Storage から返されます。

Azure CLI を使用して 1 つ以上のコンテナーの匿名アクセス レベルを更新するには、az storage container set permission コマンドを呼び出します。 アカウント キー、接続文字列、または Shared Access Signature (SAS) を渡すことによって、この操作を承認します。 コンテナーの匿名アクセス レベルを設定するコンテナー ACL の設定操作では、Microsoft Entra ID による認可はサポートされていません。 詳細については、「Blob および queue データ操作を呼び出す権限」を参照してください。

次の例では、匿名アクセスが無効なコンテナーを作成した後、コンテナーの匿名アクセス設定を更新してコンテナーとその BLOB への匿名アクセスを許可します。 かっこ内のプレースホルダー値を独自の値に置き換えることを忘れないでください。

az storage container create \
    --name <container-name> \
    --account-name <account-name> \
    --resource-group <resource-group>
    --public-access off \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key
az storage container set-permission \
    --name <container-name> \
    --account-name <account-name> \
    --public-access container \
    --account-key <account-key> \
    --auth-mode key
az storage container show-permission \
    --name <container-name> \
    --account-name <account-name> \
    --account-key <account-key> \
    --auth-mode key

匿名アクセスがストレージ アカウントで禁止されている場合、コンテナーの匿名アクセス レベルは設定できません。 コンテナーの匿名アクセス レベルを設定しようとすると、匿名アクセスがストレージ アカウント上で許可されていないことを知らせるエラーが Azure Storage から返されます。

該当なし。