Есть ли возможность ограничить доступ к BLOB-объектам Azure одним IP-адресом?

Question

Я пытаюсь ограничить доступ к BLOB-объектам Azure.В настоящее время я могу предоставить ссылку с ограничением по времени до 5 минут с использованием подписи общего доступа.Однако просто интересно, есть ли какой-нибудь механизм, требующий большей безопасности, такой как IP-адрес?

Если нет, я предполагаю, что мне просто нужно заставить клиента пройти через веб-роль и затем проверить там?

Answer 1

Обновление: теперь это поддерживается! Подробности выше приведены в разделе Лучший ответ. Остальное до сих пор представляет интерес, поэтому оставил его.

ОТСУТСТВИЕ IP Filters ПОДДЕРЖИВАТЬСЯ ПРЯМО ̶-̶ Конечно, вы можете сделать это в свой собственный веб-роли, как вы ̶s̶u̶g̶g̶e̶s̶t̶.̶ Но Вот почему вы должны быть уверены, совместный доступ к токенов *:

Единственный способ, которым URL-адрес блоба SAS может быть опубликован и подвергнут массовой атаке в течение 5 минут, - это если злоумышленник получил злонамеренное намерение. Поэтому, каким бы ни был метод его защиты (например, ограничение IP), вы будете уязвимы, потому что вы дали злоумышленнику доступ. Они могут просто загрузить данные и опубликовать их, если они ограничены IP-адресами.

Токен общего доступа в сочетании с тайм-аутом действительно предотвращает атаки методом "грубой силы", угадывающие URL-адрес, или любую небрежность, позволяющую со временем лежать в незащищенном месте.

Так что, если вы доверяете человеку, с которым делитесь, и безопасно переносите его к нему, у вас все в порядке.

* в большинстве сценариев

Answer 2

Похоже, что в службе хранилища Azure появилась новая функция ( подписи общего доступа ), которая позволяет вносить белые списки IP-адресов.

SAS предоставляет вам детальный контроль надтип доступа, который вы предоставляете клиентам, имеющим SAS, включая:

• Интервал, в течение которого действует SAS, включая время начала и время истечения.
• Разрешения предоставлены SAS.Например, SAS для большого двоичного объекта может предоставлять разрешения на чтение и запись для этого большого двоичного объекта, но не удалять разрешения.
• Необязательный IP-адрес или диапазон IP-адресов, с которых хранилище Azure будет принимать SAS .Например, вы можете указать диапазон IP-адресов, принадлежащих вашей организации.
• Протокол, по которому хранилище Azure будет принимать SAS.Этот необязательный параметр можно использовать для ограничения доступа клиентов с использованием HTTPS.

Источник: MSDN

Answer 3

Дополнительного механизма фильтрации IP нет.Вы можете направлять весь трафик через свою веб-роль и фильтровать там трафик или использовать SAS (как вы уже предлагали).