觀點 · 資訊分享

Azure Storage 的 SAS 連結可以綁定使用者了：就算連結外流，沒登入指定帳號也打不開

Azure Storage 的「使用者綁定使用者委派 SAS」正式上線：分享連結時指定 Entra ID 身分，只有通過登入的那個人能用，不再是誰拿到連結誰就能存取。不另外收費，所有公有區域都能用。

一句話看懂：Azure Storage 的 SAS 連結現在可以綁定指定的 Entra ID 使用者，只有通過登入的那個人能用，連結就算被轉傳出去，別人也無法直接拿來存取。

Azure SAS 連結可綁定使用者資訊圖卡：分享連結時指定 Entra 身分，只有通過登入的那個人能用

先用白話講：SAS 是什麼？

想像你要讓朋友進你家的儲藏室拿東西，不想把家裡鑰匙交給他，所以請管理員開一張「限時進入券」：只能進這間儲藏室、只能用到明天。這張券就是 SAS（共用存取簽章）。

問題是，這種券通常誰拿到都能用，就像電影票沒有實名：朋友把券貼在群組裡，群組裡所有人都進得來。

這次微軟推出的使用者綁定版本，等於把票改成實名制：開票時就寫上「只限某位 Entra ID 使用者」，進門時還要出示身分證明，其他人拿到券也進不去。

微軟在 9 月 9 日宣布「使用者綁定使用者委派 SAS」正式上線：

依官方部落格的步驟：

服務	需要的角色
Blob	Storage Blob Data Contributor、Storage Blob Delegator
檔案	Storage Files Data Contributor、Storage Files Delegator
資料表	Storage Table Data Contributor、Storage Table Delegator
佇列	Storage Queue Data Contributor、Storage Queue Delegator

接案時常遇到「讓客戶下載報表、上傳檔案」這類需求，用 SAS 連結最方便，但風險也很明顯：連結被轉傳或貼到不該貼的地方，等於權限也被轉傳了。以前只能靠縮短有效期與縮小權限來降低風險，現在多了一個選擇：連結只給特定的人用。

不過它有前提：對方要有 Entra ID 帳號。所以我的想法是，企業內部系統、B2B 合作這種有明確帳號體系的場景，可以優先考慮；對外公開、一般使用者的下載，仍然要靠短效期、最小權限，以及盡量不要用 SAS 當成唯一防線。

SAS 是什麼？

SAS（共用存取簽章）是一段特殊的連結權杖，讓別人在限定時間與限定範圍裡存取你的 Azure 儲存體資源，而不用把帳戶金鑰交出去。

跟以前的使用者委派 SAS 有什麼不同？

使用者委派 SAS 以 Entra ID 與 RBAC 產生，可追溯到產生它的人，最長 7 天。新的「使用者綁定」版本更進一步：產生時指定終端使用者的 Entra 身分，只有這位使用者通過驗證才能用。

對方在別的組織也能用嗎？

可以。終端使用者可以和你在同一個租用戶，也可以在不同租用戶。如果是跨租用戶，必須在儲存體帳戶開啟 allowCrossTenantDelegationSas 設定；不跨租用戶就維持關閉。

產生時需要什麼權限？

產生委派金鑰的人需要對應服務的 Data Contributor 與 Delegator 角色，例如 Blob 需要 Storage Blob Data Contributor 與 Storage Blob Delegator。

作者

接案做系統開發、網站與主機託管。觀點裡的文章都是我自己寫的,寫的是做專案時第一手遇到的事。