Dela via

Run PowerShell commands with Microsoft Entra credentials to access blob data

Azure Storage provides extensions for PowerShell that enable you to sign in and run scripting commands with Microsoft Entra credentials. When you sign in to PowerShell with Microsoft Entra credentials, an OAuth 2.0 access token is returned. That token is automatically used by PowerShell to authorize subsequent data operations against Blob storage. För åtgärder som stöds behöver du inte längre skicka en kontonyckel eller SAS-token med kommandot .

You can assign permissions to blob data to a Microsoft Entra security principal via Azure role-based access control (Azure RBAC). Mer information om Azure-roller i Azure Storage finns i Tilldela en Azure-roll för åtkomst till blobdata.

Åtgärder som stöds

Azure Storage-tilläggen stöds för åtgärder på blobdata. Which operations you may call depends on the permissions granted to the Microsoft Entra security principal with which you sign in to PowerShell. Behörigheter till Azure Storage-containrar tilldelas via Azure RBAC. For example, if you have been assigned the Blob Data Reader role, then you can run scripting commands that read data from a container. If you have been assigned the Blob Data Contributor role, then you can run scripting commands that read, write, or delete a container or the data they contain.

Mer information om de behörigheter som krävs för varje Azure Storage-åtgärd i en container finns i Anropa lagringsåtgärder med OAuth-token.

Viktigt!

När ett lagringskonto är låst med ett Azure Resource Manager ReadOnly-lås tillåts inte åtgärden Listnycklar för lagringskontot. Listnycklar är en POST-åtgärd och alla POST-åtgärder förhindras när ett ReadOnly-lås har konfigurerats för kontot. Därför måste användare som inte redan har kontonycklarna använda Microsoft Entra-autentiseringsuppgifter för att komma åt blobdata när kontot är låst med ett ReadOnly-lås . In PowerShell, include the -UseConnectedAccount parameter to create an AzureStorageContext object with your Microsoft Entra credentials.

Call PowerShell commands using Microsoft Entra credentials

To use Azure PowerShell to sign in and run subsequent operations against Azure Storage using Microsoft Entra credentials, create a storage context to reference the storage account, and include the -UseConnectedAccount parameter.

The following example shows how to create a container in a new storage account from Azure PowerShell using your Microsoft Entra credentials. Kom ihåg att ersätta platshållarvärden i vinkelparenteser med dina egna värden:

  1. Sign in to your Azure account with the Connect-AzAccount command:

    Connect-AzAccount

    Mer information om hur du loggar in på Azure med PowerShell finns i Logga in med Azure PowerShell.

  2. Create an Azure resource group by calling New-AzResourceGroup.

    $resourceGroup = "sample-resource-group-ps"
$location = "eastus"
New-AzResourceGroup -Name $resourceGroup -Location $location

  3. Create a storage account by calling New-AzStorageAccount.

    $storageAccount = New-AzStorageAccount -ResourceGroupName $resourceGroup `
  -Name "<storage-account>" `
  -SkuName Standard_LRS `
  -Location $location `
  -AllowBlobPublicAccess $false

  4. Get the storage account context that specifies the new storage account by calling New-AzStorageContext. When acting on a storage account, you can reference the context instead of repeatedly passing in the credentials. Include the -UseConnectedAccount parameter to call any subsequent data operations using your Microsoft Entra credentials:

    $ctx = New-AzStorageContext -StorageAccountName "<storage-account>" -UseConnectedAccount

  5. Innan du skapar containern tilldelar du rollen Storage Blob Data Contributor till dig själv. Även om du är kontoägare behöver du explicit behörighet för att utföra dataåtgärder mot lagringskontot. Mer information om hur du tilldelar Azure-roller finns i Tilldela en Azure-roll för åtkomst till blobdata.

    Viktigt!

    Det kan ta några minuter för Azure-rolltilldelningar att träda i kraft.

  6. Create a container by calling New-AzStorageContainer. Because this call uses the context created in the previous steps, the container is created using your Microsoft Entra credentials.

    $containerName = "sample-container"
New-AzStorageContainer -Name $containerName -Context $ctx

Nästa steg