[Azure] Microsoft Entra ID에 blob 권한 부여(storage blob data contributor와 contributor)

문서를 보고 이해한대로 정리한 내용입니다. 잘못된 내용이 잇는경우 알려주세요~

Microsoft Entra Id를 사용해 blob 기능 사용을 위해 contributor 권한을 발급 받아 테스트 하는 도중 오류가 발생했습니다.

발생한 에러는 Microsoft Entra ID를 통해 데이터에 액세스할 수 없는 경우 발생하는 에러입니다.

contributor은 모든 리소스를 관리할 수 있는 전체 액세스 권한을 부여합니다. Azure RBAC에서 역할을 할당하거나, Azure Blueprints에서 할당을 관리하거나, 이미지 갤러리를 공유할 수는 없습니다.

 

 

Microsoft Entra ID에 contributor 권한이 할당 되었지만 에러가 발생한 이유는 Azure와 Microsoft Enter 역할이 다르기 때문이었습니다.

차이점	Azure	Microsoft Entra ID
엑세스 관리	Azure 리소스	Microsoft Entra 리소스
RBAC 지원	o	o
범위	범위는 여러 수준(관리그룹, 가입, 자원그룹, 자원)으로 지정할 수 있습니다.	범위는 테넌트 수준(조직 전체), 관리 단위 또는 개별 개체(예: 특정 애플리케이션)에서 지정할 수 있습니다.
역할 정보	Azure Portal, Azure CLI, Azure PowerShell, Azure Resource Manager 템플릿, REST API에서 액세스할 수 있습니다.	Azure Portal, Microsoft Entra 관리 센터, Microsoft 365 관리 센터, Microsoft Graph, Microsoft Graph PowerShell에서 액세스할 수 있습니다.

Azure roles : 가상 네트워크, 머신, 리소스 그룹 등 클라우드 내에 배포된 리소스에 대한 액세스를 제어하며 사용자 액세스 관리자 역할을 통해 다른 사용자에게 Azure 리소스에 대한 액세스 권한을 부여할 수 있습니다.

 

Microsoft Entra roles : Microsoft Entra ID 및 Microsoft 365 범위의 리소스에 대한 액세스를 제어 하며 전역 관리자를 통해 Microsoft Entra ID 및 Microsoft 365에 엑세스 권한을 부여합니다. 전역 관리자는 Azure 리소스에 액세스할 수 없습니다.

 

아래 이미지를 보면 Azure는 Azure roles 영역에 속하고 Microsoft Entra ID는 Microsoft Entra roles 영역에 속해 각각의 권한이 필요한 것을 알 수 있습니다.

 

 

 

Microsoft Entra 자격 증명을 사용하여 Azure Portal에서 Blob 데이터에 액세스하려면 사용자에게 다음 역할 할당이 있어야 합니다.

• Storage Blob Data Reader 또는 Storage Blob Data Contributor와 같은 데이터 액세스 역할
• Azure Resource Manager Reader 역할

위 3가지 권한에 포함되는 범위를 확인했을 때 storage blob data contributor 권한이 필요한 것을 확인할 수 있었습니다.

Storage Blob Data Contributor.Actions

 

example : Java용 Azure Blob Storage라이브러리

참고 : 

https://learn.microsoft.com/en-us/azure/storage/blobs/authorize-access-azure-active-directory

https://learn.microsoft.com/en-us/azure/storage/blobs/assign-azure-role-data-access?tabs=portal

https://learn.microsoft.com/en-us/azure/role-based-access-control/rbac-and-directory-admin-roles

 

https://learn.microsoft.com/en-us/rest/api/storageservices/authorize-with-azure-active-directory#permissions-for-calling-data-operations

https://www.pluralsight.com/resources/blog/cloud/azure-roles-microsoft-entra-id-roles#rbac-microsoft-entra-id