コピー操作のソースをストレージ アカウントに制限する

セキュリティ上の理由から、ストレージ管理者は、データをコピーできる環境をセキュリティで保護されたアカウントに制限する場合があります。 許可されるコピー操作のスコープを制限することで、信頼されていないテナントまたは仮想ネットワークからの不要なデータの侵入を防ぐことができます。

この記事では、コピー操作のソース アカウントを、コピー先アカウントと同じテナント内にある、またはコピー先と同じ仮想ネットワークへのプライベート リンクを持つアカウントに制限する方法について説明します。

コピー操作の許可されるスコープ (プレビュー) について

ストレージ アカウントの AllowedCopyScope プロパティは、データをコピー先アカウントにコピーできる環境を指定するために使います。 これは Azure portal に構成設定 [コピー操作の許可されるスコープ (プレビュー)] と表示されます。 このプロパティは既定では設定されておらず、明示的に設定するまでは値が返されません。 次の 3 つの値を指定できます。

• (null) (既定値): 任意のストレージ アカウントからコピー先アカウントへのコピーを許可します。
• Microsoft Entra ID: コピー先アカウントと同じ Microsoft Entra テナント内のアカウントからのみコピーを許可します。
• PrivateLink: コピー先アカウントと同じ仮想ネットワークへのプライベート リンクを持つストレージ アカウントからのコピーのみを許可します。

この設定は、[BLOB のコピー] と [Copy BLOB From URL] (URL からの BLOB のコピー) の操作に適用されます。

この設定で指定した要件をコピー要求のソースが満たしていない場合、要求は HTTP 状態コード 403 (禁止) で失敗します。

AllowedCopyScope プロパティは、Azure Resource Manager デプロイ モデルを使うストレージ アカウントのみでサポートされています。 Azure Resource Manager デプロイ モデルを使用しているストレージ アカウントの詳細については、「ストレージ アカウントの種類」を参照してください。

コピー操作のソース ストレージ アカウントを特定する

ストレージ アカウントの AllowedCopyScope の値を変更する前に、変更の影響を受けるユーザー、アプリケーション、またはサービスを特定します。 その結果によっては、目的のコピー ソースすべてを含むスコープに設定を調整したり、ソース ストレージ アカウントの一部についてネットワークまたは Microsoft Entra の構成を調整したりする必要があります。

Azure Monitor の Azure Storage ログには、コピー操作のソースとコピー先を含め、ストレージ アカウントに対して行われた要求に関する詳細が取り込まれます。 詳細については、「Azure Storage を監視する」を参照してください。 ログを有効にし、分析することで、コピー先ストレージ アカウントの AllowedCopyScope を変更したことで影響を受けた可能性があるコピー操作を特定できます。

Azure portal での診断設定の作成

Azure Monitor で Azure Storage のデータをログに記録し、Azure Log Analytics で分析するには、まず、データをログに記録する要求の種類とストレージ サービスを指示する診断設定を作成する必要があります。 ストレージ アカウントに対してログ記録を構成した後は、ログが Log Analytics ワークスペースで使用可能になります。 ワークスペースを作成するには、「Azure portal で Log Analytics ワークスペースを作成する」を参照してください。

Azure portal で診断設定を作成する方法については、「Azure Monitor の診断設定を作成する」を参照してください。

Azure Monitor の Azure Storage ログで使用できるフィールドのリファレンスについては、「リソース ログ」を参照してください。

コピー要求のログのクエリを実行する

Azure Storage ログには、別のソースからストレージ アカウントにデータをコピーするすべての要求が含まれています。 ログ エントリには、コピー先ストレージ アカウントの名前とソース オブジェクトの URI と共に、コピーを要求しているクライアントの識別に役立つ情報が含まれています。 Azure Monitor の Azure Storage ログで使用できるフィールドの詳細なリファレンスについては、「リソース ログ」を参照してください。

BLOB をコピーする要求のログのうち、過去 7 日間に作成されたものを取得するには、次の手順を実行します。

1. Azure Portal のストレージ アカウントに移動します。

2. [監視] セクションで、[ログ] を選択します。

3. 以下のクエリを新しいログ クエリに貼り付けて実行します。 このクエリを実行すると、ストレージ アカウントにデータをコピーする要求で最も頻繁に参照されたソース オブジェクトが表示されます。 次の例では、プレースホルダーのテキスト <account-name> をお使いのストレージ アカウント名に置き換えます。

   StorageBlobLogs
   | where OperationName has "CopyBlobSource" and TimeGenerated > ago(7d) and AccountName == "<account-name>"
   | summarize count() by Uri, CallerIpAddress, UserAgentHeader
   

クエリの結果は次のようになります。

この URI はコピーされるソース オブジェクトの完全なパスです。ストレージ アカウント名、コンテナー名、ファイル名が含まれています。 URI の一覧から、特定の AllowedCopyScope 設定が適用された場合にコピー操作がブロックされるかどうかを判断します。

また、このクエリに基づいて警告ルールを構成し、そのアカウントに対する BLOB のコピー要求の通知を受けることもできます。 詳細については、「Azure Monitor を使用してログ アラートを作成、表示、管理する」を参照してください。

コピー操作の許可されるスコープを制限する (プレビュー)

コピー要求のソースを特定のスコープに制限しても問題ないと確信できる場合は、ストレージ アカウントの AllowedCopyScope プロパティをそのスコープに設定できます。

コピー操作の許可されるスコープを変更するためのアクセス許可 (プレビュー)

ストレージ アカウントの AllowedCopyScope プロパティを設定するには、ストレージ アカウントを作成および管理するためのアクセス許可が必要です。 これらのアクセス許可を提供する Azure ロールベースのアクセス制御 (Azure RBAC) ロールには、Microsoft.Storage/storageAccounts/write または Microsoft.Storage/storageAccounts/* アクションが含まれます。 このアクションの組み込みロールには、次のようなロールがあります。

• Azure Resource Manager の所有者ロール
• Azure Resource Manager の共同作成者ロール
• Storage Account の共同作成者ロール

これらのロールは、Microsoft Entra ID を介したストレージ アカウント内のデータへのアクセスを提供しません。 ただし、アカウント アクセス キーへのアクセスを許可する Microsoft.Storage/storageAccounts/listkeys/action が含まれています。 このアクセス許可では、ユーザーがアカウント アクセス キーを使用して、ストレージ アカウント内のすべてのデータにアクセスできます。

アカウントのコピー操作のスコープを制限することをユーザーに許可するには、ロールの割り当てのスコープをストレージ アカウントのレベル以上に設定する必要があります。 ロール スコープの詳細については、「Azure RBAC のスコープについて」を参照してください。

これらのロールを割り当てる際には、ストレージ アカウントを作成したり、そのプロパティを更新したりする機能を必要とするユーザーにのみ割り当てるように、注意してください。 最小限の特権の原則を使用して、ユーザーに、それぞれのタスクを実行するのに必要な最小限のアクセス許可を割り当てるようにします。 Azure RBAC でアクセスを管理する方法の詳細については、「Azure RBAC のベスト プラクティス」を参照してください。

コピー操作の許可されるスコープを構成する (プレビュー)

必要なアクセス許可を持つアカウントを使い、Azure portal、PowerShell、または Azure CLI を使って、コピー操作の許可スコープを構成します。

Set-AzStorageAccount -ResourceGroupName <resource-group> `
    -AccountName <storage-account> `
    -allowedCopyScope "AAD"

Set-AzStorageAccount -ResourceGroupName <resource-group> `
    -AccountName <storage-account> `
    -allowedCopyScope "PrivateLink"

az storage account update \
    --name <storage-account> \
    --resource-group <resource-group> \
    --allowed-copy-scope "AAD"

az storage account update \
    --name <storage-account> \
    --resource-group <resource-group> \
    --allowed-copy-scope "PrivateLink"

次の手順

• セキュリティで保護された接続を確保するために安全な転送を要求する
• BLOB データへの匿名読み取りアクセスを修復する (Azure Resource Manager デプロイ環境)
• Azure Storage アカウントの共有キーによる承認を禁止する