コンテナー ACL の設定

Set Container ACL 操作は、指定されたコンテナーのアクセス許可を設定します。 このアクセス許可は、コンテナー内の BLOB にパブリックにアクセスできるかどうかを示します。

バージョン 2009-09-19 以降、コンテナーのアクセス許可には、コンテナー アクセスを管理するための次のオプションが用意されています。

• 完全なパブリック読み取りアクセス: コンテナーと BLOB のデータは匿名要求を介して読み取ることができます。 クライアントは、匿名要求を介してコンテナー内の BLOB を列挙できますが、ストレージ アカウント内のコンテナーを列挙することはできません。

• BLOB のパブリック読み取りアクセスのみ: このコンテナー内 BLOB データは匿名要求を介して読み取ることができますが、コンテナー データは使用できません。 クライアントは、匿名要求を介してコンテナー内の BLOB を列挙できません。

• パブリック読み取りアクセスなし: コンテナーと BLOB のデータは、アカウント所有者のみが読み取ることができます。

Set Container ACL は、Shared Access Signature で使用する保存されたアクセス ポリシーも設定します。 詳細については、「保存されているアクセス ポリシーを定義する」を参照してください。

コンテナーへのパブリック アクセスはすべて匿名であり、Shared Access Signature を介したアクセスも同様です。

依頼

Set Container ACL 要求は、次のように構築できます。 HTTPS を使用することをお勧めします。 myaccount ストレージ アカウントの名前に置き換えます。

エミュレートされたストレージ サービス要求

エミュレートされたストレージ サービスに対して要求を行う場合は、エミュレーターのホスト名と BLOB サービス ポートを 127.0.0.1:10000として指定し、その後にエミュレートされたストレージ アカウント名を指定します。

詳細については、「ローカルの Azure Storage 開発に Azurite エミュレーターを使用する」を参照してください。

URI パラメーター

要求 URI には、次の追加パラメーターを指定できます。

要求ヘッダー

必須の要求ヘッダーと省略可能な要求ヘッダーを次の表に示します。

この操作では、指定した条件が満たされた場合にのみ、条件付きヘッダーを使用して操作を実行することもできます。 詳細については、「BLOB サービス操作の条件付きヘッダーを指定する」を参照してください。

要求本文

格納されているアクセス ポリシーを指定するには、Set Container ACL 操作の要求本文に一意の識別子とアクセス ポリシーを指定します。

SignedIdentifier 要素には、Id 要素で指定された一意の識別子と、AccessPolicy 要素で指定されたアクセス ポリシーの詳細が含まれます。 一意識別子の最大長は 64 文字です。

Start フィールドと Expiry フィールドは UTC 時刻で表され、有効な ISO 8061 形式に準拠している必要があります。 サポートされている ISO 8061 形式は次のとおりです。

• YYYY-MM-DD
• YYYY-MM-DDThh:mmTZD
• YYYY-MM-DDThh:mm:ssTZD
• YYYY-MM-DDThh:mm:ss.fffffffTZD

これらの形式の日付部分では、YYYY は 4 桁の年表現、MM は 2 桁の月表現、DD は 2 桁の日表現です。 時刻部分の場合、hh は 24 時間表記の時間表現、mm は 2 桁の分表現、ss は 2 桁の秒表現、fffffff は 7 桁のミリ秒表現です。 時刻指定子 T 文字列の日付と時刻の部分を区切り、タイム ゾーン指定子 TZD タイム ゾーンを指定します。

<?xml version="1.0" encoding="utf-8"?>  
<SignedIdentifiers>  
  <SignedIdentifier>   
    <Id>unique-64-character-value</Id>  
    <AccessPolicy>  
      <Start>start-time</Start>  
      <Expiry>expiry-time</Expiry>  
      <Permission>abbreviated-permission-list</Permission>  
    </AccessPolicy>  
  </SignedIdentifier>  
</SignedIdentifiers>  
  

要求のサンプル

Request Syntax:  
PUT https://myaccount.blob.core.windows.net/mycontainer?restype=container&comp=acl HTTP/1.1  
  
Request Headers:  
x-ms-version: 2011-08-18  
x-ms-date: Sun, 25 Sep 2011 00:42:49 GMT  
x-ms-blob-public-access: container  
Authorization: SharedKey myaccount:V47F2tYLS29MmHPhiR8FyiCny9zO5De3kVSF0RYQHmo=  
  
Request Body:  
<?xml version="1.0" encoding="utf-8"?>  
<SignedIdentifiers>  
  <SignedIdentifier>   
    <Id>MTIzNDU2Nzg5MDEyMzQ1Njc4OTAxMjM0NTY3ODkwMTI=</Id>  
    <AccessPolicy>  
      <Start>2009-09-28T08:49:37.0000000Z</Start>  
      <Expiry>2009-09-29T08:49:37.0000000Z</Expiry>  
      <Permission>rwd</Permission>  
    </AccessPolicy>  
  </SignedIdentifier>  
</SignedIdentifiers>  
  

応答

応答には、HTTP 状態コードと一連の応答ヘッダーが含まれます。

状態コード

操作が成功すると、状態コード 200 (OK) が返されます。

状態コードの詳細については、「状態コードとエラー コードを参照してください。

応答ヘッダー

この操作の応答には、次のヘッダーが含まれます。 応答には、追加の標準 HTTP ヘッダーも含まれる場合があります。 すべての標準ヘッダーは、HTTP/1.1 プロトコル仕様に準拠しています。

応答のサンプル

Response Status:  
HTTP/1.1 200 OK  
  
Response Headers:  
Transfer-Encoding: chunked  
Date: Sun, 25 Sep 2011 22:42:55 GMT  
ETag: "0x8CB171613397EAB"  
Last-Modified: Sun, 25 Sep 2011 22:42:55 GMT  
x-ms-version: 2011-08-18  
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0  

認可

Azure Storage でデータ アクセス操作を呼び出す場合は、承認が必要です。 次の説明に従って、Set Container ACL 操作を承認できます。

備考

コンテナーのアクセス許可を設定すると、既存のアクセス許可が置き換えられます。 コンテナーのアクセス許可を更新するには、コンテナー ACL の取得を呼び出して、コンテナーに関連付けられているすべてのアクセス ポリシーをフェッチします。 変更するアクセス ポリシーを変更し、データの完全なセットで Set Container ACL を呼び出して更新を実行します。

コンテナー データ で匿名パブリック アクセスを有効にする

コンテナー データに対する匿名パブリック読み取りアクセスを有効にするには、x-ms-blob-public-access ヘッダーを container または blobに設定して Set Container ACL を呼び出します。 匿名アクセスを無効にするには、x-ms-blob-public-access ヘッダーを指定せずに Set Container ACL を呼び出します。

x-ms-blob-public-access を blobに設定すると、クライアントは次の操作を匿名で呼び出すことができます。

• BLOB を取得する

• BLOB プロパティの取得

• BLOB メタデータ を取得する

• ブロック リストの取得 (コミットされたブロック リストの場合のみ)

• ページ範囲の取得

x-ms-blob-public-access を containerに設定すると、クライアントは次の操作を匿名で呼び出すことができます。

• 前のセクションに記載されている BLOB アクセス操作。

• コンテナーのプロパティを取得する

• コンテナー メタデータ を取得する

• BLOB を一覧表示する

コンテナー レベルのアクセス ポリシーを確立

保存されているアクセス ポリシーでは、関連付けられている共有アクセス署名の開始時刻、有効期限、アクセス許可を指定できます。 コンテナーまたは BLOB リソースへのアクセスを制御する方法に応じて、格納されているアクセス ポリシー内でこれらのパラメーターをすべて指定し、共有アクセス署名の URL からそれらを省略できます。 そうすることで、関連付けられている署名の動作をいつでも変更するか、取り消すことができます。 または、保存されているアクセス ポリシー内に 1 つ以上のアクセス ポリシー パラメーターを指定し、他のアクセス ポリシーパラメーターを URL に指定することもできます。 最後に、URL のすべてのパラメーターを指定できます。 この場合、保存されているアクセス ポリシーを使用して署名を取り消すことができますが、その動作を変更することはできません。 詳細については、「保存されているアクセス ポリシーを定義する」を参照してください。

Shared Access Signature と保存されているアクセス ポリシーには、署名の承認に必要なすべてのフィールドが含まれている必要があります。 必要なフィールドがない場合、要求は失敗します。 同様に、共有アクセス署名 URL と格納されているアクセス ポリシーの両方でフィールドが指定されている場合、要求は状態コード 400 (無効な要求) で失敗します。

最大で、1 つのコンテナーに対して 5 つの個別のアクセス ポリシーをいつでも設定できます。 要求本文で 5 つ以上のアクセス ポリシーが渡された場合、サービスは状態コード 400 (無効な要求) を返します。

コンテナー データが匿名読み取りアクセスに使用できるかどうかに関係なく、コンテナーまたは BLOB に対して共有アクセス署名を発行できます。 Shared Access Signature を使用すると、リソースをアクセス可能にする方法、タイミング、およびユーザーをより詳細に制御できます。

請求

価格要求は、Blob Storage API を使用するクライアントから、Blob Storage REST API を介して直接、または Azure Storage クライアント ライブラリから送信できます。 これらの要求には、トランザクションあたりの料金が発生します。 トランザクションの種類は、アカウントの課金方法に影響します。 たとえば、読み取りトランザクションは、書き込みトランザクションとは異なる課金カテゴリに発生します。 次の表に、ストレージ アカウントの種類に基づく Set Container ACL 要求の課金カテゴリを示します。

指定された課金カテゴリの価格については、Azure Blob Storage の価格に関するページを参照してください。

関連項目

コンテナーと BLOB へのアクセスを制限する
Shared Access Signature を使用してアクセスを委任する
Shared Access Signature を作成して使用する
保存されているアクセス ポリシー を定義する
コンテナー ACL を取得する
Azure Storage への要求を承認する
状態とエラー コードの
BLOB サービスのエラー コード