Introduction
Le renforcement de l'accès au plan de données d'un compte de stockage est une pratique courante pour améliorer la sécurité. Toutefois, lors de l'utilisation de ressources Azure avec une intégration de réseau virtuel (VNET) ou de l'accès aux points de terminaison de stockage depuis des IP privées ou d'autres locataires, des erreurs d'autorisation peuvent survenir si la source n'est pas correctement inscrite sur la liste d'autorisation. Cet article explore les scénarios courants qui conduisent à de telles erreurs et propose des résolutions concrètes.
Scénarios courants d'erreurs d'autorisation
Scénario 1 : accès depuis une autre région
Lorsque la source qui effectue l'appel provient d'une autre région Azure, le problème peut généralement être résolu en ajoutant l' adresse IP publique de la source au pare-feu du compte de stockage.
Scénario 2 : l'accès depuis la même région échoue
Les requêtes provenant de la même région Azure utilisent souvent adresses IP privées Azure au lieu d'IP publiques. Dans ce cas, l'inscription d'IP publiques sur la liste d'autorisation échouera. Consultez Configurer les pare-feux et les réseaux virtuels Azure Storage pour plus de détails.
Scénario 3 : restreindre l'accès à un sous-réseau spécifique
Si les ressources n'ont pas d'IP publiques, mais que le client souhaite restreindre l'accès à un sous-réseau spécifique, des problèmes peuvent survenir en raison de limitations de visibilité. Le pare-feu du compte de stockage risque de ne pas afficher le sous-réseau cible, ce qui nécessite une inscription manuelle sur la liste d'autorisation par une personne disposant d'un accès RBAC Contributeur accès ou supérieur.
Scénario 4 : accès depuis un autre locataire Azure
Lorsque les ressources qui tentent d'accéder au compte de stockage appartiennent à un autre locataire Azure, des étapes supplémentaires sont nécessaires pour inscrire le sous-réseau source sur la liste d'autorisation.
Étapes de résolution
Ajouter un sous-réseau d'un autre locataire
Pour inscrire sur la liste d'autorisation un sous-réseau d'un réseau virtuel d'un autre locataire Azure, le paramètre VirtualNetworkResourceId doit être utilisé. Cela implique de spécifier l'URI du sous-réseau sous la forme :
/subscriptions/<subscription-ID>/resourceGroups/<resourceGroup-Name>/providers/Microsoft.Network/virtualNetworks/<vNet-name>/subnets/<subnet-name>
Exemple de commande PowerShell
Pour récupérer l'URI du sous-réseau, utilisez la commande suivante :
$subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
Si l'utilisateur ne dispose pas d'un accès suffisant pour exécuter cette commande dans le locataire source, il peut récupérer l'URI du sous-réseau en inspectant le corps JSON de la ressource VNET dans Azure. Cela nécessite accès READ du plan de contrôle sur la ressource.
Activer le point de terminaison de service de stockage
Avant d'inscrire le sous-réseau sur la liste d'autorisation, assurez-vous que le point de terminaison de service Microsoft.Storage ou Microsoft.Storage.Global soit activé. Cela peut être fait avec Azure PowerShell, l'interface de ligne de commande ou le portail Azure. Pour des instructions détaillées, consultez Configurer les pare-feux et les réseaux virtuels Azure Storage.
Exemple de commande pour l'inscription sur la liste d'autorisation
Une fois l'URI du sous-réseau obtenu, utilisez la commande suivante pour ajouter la règle de réseau :
Add-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount" -VirtualNetworkResourceId $subnet
Vérification
Pour vérifier la connexion, utilisez la commande curl avec un jeton SAS :
curl https://storageaccountname.blob.core.windows.net/container/hello.txt?<SAS token>
Conseil :
- L'indicateur
-vdans la commandecurlactive la sortie détaillée, ce qui peut aider à identifier les réponses HTTP telles que403 Forbidden. Supprimez l'indicateur pour obtenir une sortie plus propre.
L'exemple ci-dessous montrera le sous-réseau dans le pare-feu du compte de stockage cible
Conseil : L'avertissement mis en évidence peut être ignoré en toute sécurité ; il est lié à l'accès READ du plan de contrôle sur le sous-réseau inscrit sur la liste d'autorisation ; l'accès au plan de données sera autorisé.
Considérations supplémentaires
- Activation des points de terminaison de service: L'activation du point de terminaison de service de stockage peut provoquer des interruptions temporaires de la connectivité. Pour plus d'informations, consultez Points de terminaison de service de réseau virtuel Azure.
- Points de terminaison privés: Les points de terminaison privés contournent les règles de réseau du pare-feu, car ils reposent sur le DNS et la connectivité via le sous-réseau autorisé. Consultez Utiliser des points de terminaison privés – Azure Storage.
- Plan de contrôle et plan de données: Comprendre la différence entre les opérations du plan de contrôle et du plan de données est crucial pour le dépannage. Pour en savoir plus, consultez Opérations du plan de contrôle et du plan de données.
Conclusion
Les erreurs d'autorisation lors de l'accès aux points de terminaison Azure Storage proviennent souvent de règles de pare-feu mal configurées ou d'une visibilité insuffisante du sous-réseau. En suivant les étapes décrites ci-dessus, vous pouvez dépanner et résoudre efficacement ces problèmes, garantissant un accès au plan de données sécurisé et fluide.