데이터에 액세스하기 위한 Azure 역할 할당

Microsoft Entra 자격 증명을 사용하여 Azure Portal의 큐 데이터에 액세스하려면 사용자에게 다음 역할 할당이 있어야 합니다.

• 데이터 액세스 역할(예: 스토리지 큐 데이터 참가자)
• Azure Resource Manager 읽기 권한자 역할

사용자에게 이러한 역할을 할당하는 방법을 알아보려면 Azure Portal을 사용하여 Azure 역할 할당에 제공된 지침을 따르세요.

읽기 권한자 역할은 사용자가 스토리지 계정 리소스를 볼 수 있지만 수정할 수는 없도록 허용하는 Azure Resource Manager 역할입니다. Azure Storage에서 데이터에 대한 읽기 권한은 제공하지 않고 계정 관리 리소스에 대해서만 제공합니다. 사용자가 Azure Portal의 큐 및 메시지로 이동할 수 있으려면 읽기 권한자 역할이 필요합니다.

예를 들어 샘플 큐라는 큐 수준에서 사용자 Mary에게 스토리지 큐 데이터 참가자 역할을 할당하면, Mary에게 해당 큐에 대한 읽기, 쓰기, 삭제 권한이 부여됩니다. 그러나 Mary가 Azure Portal에서 큐를 보려는 경우 스토리지 큐 데이터 참가자 역할 자체는 큐를 보기 위해 포털을 통해 큐로 이동할 수 있는 충분한 사용 권한을 제공하지 않습니다. 포털을 탐색하고 여기에 표시되는 다른 리소스를 보려면 추가 권한이 필요합니다.

Microsoft Entra 자격 증명으로 Azure Portal을 사용하려면 사용자에게 읽기 권한자 역할을 할당해야 합니다. 그러나 사용자에게 Microsoft.Storage/storageAccounts/listKeys/action 권한이 있는 역할이 할당된 경우 사용자는 공유 키 권한 부여를 통해 스토리지 계정 키와 함께 Portal을 사용할 수 있습니다. 스토리지 계정 키를 사용하려면 스토리지 계정에 공유 키 액세스가 허용되어야 합니다. 공유 키 액세스를 허용하거나 허용하지 않는 것에 대한 자세한 내용은 Azure Storage 계정에 대한 공유 키 권한 부여 방지를 참조하세요.

읽기 권한자 역할 이외의 추가 권한을 제공하는 Azure Resource Manager 역할을 할당할 수도 있습니다. 보안 모범 사례로 가능한 최소 사용 권한을 할당하는 것이 좋습니다. 자세한 내용은 Azure RBAC에 대한 모범 사례를 참조하세요.

Azure 역할을 보안 주체에 할당하려면 New-AzRoleAssignment 명령을 호출합니다. 명령의 형식은 할당 범위에 따라 다를 수 있습니다. 이 명령을 실행하려면 해당 범위 이상에서 사용자에게 할당된 Microsoft.Authorization/roleAssignments/write 권한을 포함하는 역할이 있어야 합니다.

범위가 지정된 역할을 큐에 할당하려면 --scope 매개 변수의 큐 범위를 포함하는 문자열을 지정합니다. 큐의 범위는 다음과 같은 형식입니다.

/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue-name>

다음 예제에서는 sample-queue라는 큐로 범위가 지정된 사용자에게 스토리지 큐 데이터 참가자 역할을 할당합니다. 샘플 값과 대괄호 안의 자리 표시자 값을 고유한 값으로 바꿔야 합니다.

New-AzRoleAssignment -SignInName <email> `
    -RoleDefinitionName "Storage Queue Data Contributor" `
    -Scope  "/subscriptions/<subscription>/resourceGroups/sample-resource-group/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/sample-queue"

구독, 리소스 그룹 또는 스토리지 계정 범위에서 PowerShell을 사용하여 역할을 할당하는 방법에 대한 자세한 내용은 Azure PowerShell을 사용하여 Azure 역할 할당을 참조하세요.

Azure 역할을 보안 주체에 할당하려면 az role assignment create 명령을 사용합니다. 명령의 형식은 할당 범위에 따라 다를 수 있습니다. 명령의 형식은 할당 범위에 따라 다를 수 있습니다. 이 명령을 실행하려면 해당 범위 이상에서 사용자에게 할당된 Microsoft.Authorization/roleAssignments/write 권한을 포함하는 역할이 있어야 합니다.

범위가 지정된 역할을 큐에 할당하려면 --scope 매개 변수의 큐 범위를 포함하는 문자열을 지정합니다. 큐의 범위는 다음과 같은 형식입니다.

/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue-name>

다음 예제에서는 큐 수준에 범위가 지정된 스토리지 큐 데이터 기여자 역할을 할당합니다. 샘플 값과 대괄호 안의 자리 표시자 값을 고유한 값으로 바꿔야 합니다.

az role assignment create \
    --role "Storage Queue Data Contributor" \
    --assignee <email> \
    --scope "/subscriptions/<subscription>/resourceGroups/<resource-group>/providers/Microsoft.Storage/storageAccounts/<storage-account>/queueServices/default/queues/<queue>"

구독, 리소스 그룹 또는 스토리지 계정 범위에서 PowerShell을 사용하여 역할을 할당하는 방법에 대한 자세한 내용은 Azure CLI를 사용하여 Azure 역할 할당을 참조하세요.

Azure Resource Manager 템플릿을 사용하여 Azure 역할을 할당하는 방법을 알아보려면 Azure Resource Manager 템플릿을 사용하여 Azure 역할 할당을 참조하세요.