Как ограничить доступ принципа обслуживания к указанной папке c в ADLS Gen2?

Question

Я пытаюсь настроить подключение Power BI к ADLS Gen2, используя принцип обслуживания. Я хотел бы ограничить доступ к определенной папке c (и подпапкам внизу).

Похоже, что Принцип обслуживания должен быть добавлен к роли RBA C «Читатель данных» или «Участник данных» на уровне контейнера. Это автоматически предоставляет доступ ко всем папкам в контейнере root.

Как я могу ограничить доступ принципа обслуживания указанным c уровнем папки?

Спасибо

Answer 1

Если вы хотите ограничить доступ Принципа обслуживания указанным уровнем папки c, мы можем использовать Список контроля доступа для его реализации. ACL использует Read , Write и Execute для контроля доступа.

Относительно того, как использовать эти разрешения для контроля доступа, см. Документ . Например, если мы хотим прочитать файл в одной папке, нам нужно предоставить субъекту безопасности Execute разрешения для контейнера и для каждой папки в иерархии папок, которые ведут к файлу, и Read разрешения для файл с помощью Azure Storage Explorer .

Однако обратите внимание, что мы не можем использовать списки контроля доступа, чтобы обеспечить уровень доступа, который ниже уровня, предоставленного Azure RAB C назначение роли. Например, если вы назначите роль Storage Blob Data Contributor субъекту службы, то вы не сможете использовать списки контроля доступа, чтобы запретить этому участнику службы выполнять запись в каталог. Поэтому я предлагаю вам удалить роль участника службы Azure RAB C при использовании ACL для управления доступом.