Die Nordlicht Reisen GmbH hat ein Speicherkonto mit Buchungsbelegen. Die Buchhaltung soll einmal im Monat einen Container lesen, ein Dienstleister soll Dateien hochladen, und aus dem Internet soll sonst niemand an das Konto kommen. Dafür gibt es vier Werkzeuge, die diese Lektion durchgeht: Kontoschlüssel, Shared Access Signatures (SAS), gespeicherte Zugriffsrichtlinien und die Speicher-Firewall.

Diese Lektion deckt im Study guide ab: Zugriffsschlüssel verwalten, SAS-Token erstellen und verwenden, gespeicherte Zugriffsrichtlinien konfigurieren, Azure-Storage-Firewalls und virtuelle Netzwerke konfigurieren.

Vorwissen. Das Speicherkonto selbst legt Lektion 2.1 an. Rollen und Bereiche sind Lektion 1.3. Wie eine Anwendung ohne Schlüssel mit einer verwalteten Identität auf Blobs zugreift, zeigt K3, Lektion 3.3.1. Hier geht es um die Verwaltung von Zugriffen aus Sicht der Administration.

Zugriffsschlüssel verwalten

Jedes Speicherkonto hat Zugriffsschlüssel (access keys). Sie geben vollen Zugriff auf alle Daten des Kontos, wie ein Administratorkennwort. Wer sie hat, braucht keine Identität und keine Rolle.

Daraus folgt der Rat von Microsoft: Schlüssel nur dort, wo es nicht anders geht. Besser ist der Zugriff mit Microsoft Entra und Rollenzuweisungen (Lektion 1.3). Wer Schlüssel ganz ausschließen will, schaltet die Einstellung Enable storage account key access ab (beim Anlegen auf dem Reiter Security; später in der Konfiguration des Kontos). Dann lehnt das Konto Anfragen ab, die mit dem Schlüssel oder einem davon abgeleiteten SAS (Konto-SAS, Dienst-SAS) signiert sind.

Verwalten heißt: sie anzeigen, drehen (neu erzeugen) und schützen. Im Portal: Konto → Security + networking → Access keys. Befehle:

PowerShell
az storage account keys list --account-name <eindeutiger-name> `
    --resource-group rg-az104-zugriff
az storage account keys renew --account-name <eindeutiger-name> `
    --resource-group rg-az104-zugriff --key key1

In Azure PowerShell: Get-AzStorageAccountKey und New-AzStorageAccountKey -KeyName key1. Zwei Dinge sind prüfungsrelevant:

  • Drehen (rotieren) macht den alten Schlüssel ungültig. Alles, was ihn nutzt, schlägt fehl, bis es den anderen gültigen oder den neu erzeugten verwendet. Deshalb gibt es zwei Schlüssel (key1, key2): erst die Anwendungen auf den zweiten umstellen, dann den ersten drehen.
  • Eine ReadOnly-Sperre auf dem Konto verhindert das Auflisten der Schlüssel (Lektion 1.5). Wer dann arbeiten will, braucht Microsoft Entra.

Schlüssel gehören nie in Skripte oder Repositories. Aufbewahrung: Azure Key Vault (K3, Lektion 3.3.2).