北京
你的应用代码里是不是还硬编码着存储账户的访问密钥？每次部署前都要反复检查有没有不小心把密钥提交到公开仓库。Azure提供了一套机制，让你彻底摆脱这些明文凭证，同时给关键业务数据加上一道防篡改的护身符。
这套组合拳由三个部件构成：托管标识负责身份认证，基于角色的访问控制划定操作边界，不可变存储策略则确保写入的数据在保护期内无法被修改或删除。三件事指向同一个目标——把你的存储环境从"谁拿到密钥谁说了算"，变成"只有经过授权的身份才能做被允许的事"。
先弄清楚两个核心概念。托管标识让Azure资源在请求其他服务时，不需要在代码里塞任何凭证。应用程序运行时自动获得一个身份，用这个身份去证明"我是我"。而基于角色的访问控制回答的是另一个问题：这个身份到底能做什么？它能列出容器里的文件，还是能直接删除整个存储账户？权限粒度由你来定。两者配合，硬编码的密钥就可以从代码库中消失了，权限集中管理，符合最小权限原则。
搭建这样一套环境需要几步准备工作。你得有一个Azure账户和有效的订阅，能稳定联网，并且能登录Azure门户。准备好之后，我们从创建存储账户开始。
在门户中搜索并选择"存储账户"，点击创建。资源组可以新建一个，给个容易识别的名称。存储账户名必须全局唯一，符合Azure的命名规范。切到"加密"选项卡时，勾选"启用基础设施加密"。注意那个警告提示——这个选项一旦创建后就无法更改，确认之前想清楚。设置完成后选择"审阅并创建"，等待部署完成。
接下来创建托管标识。搜索"托管标识"进入服务页面，选择创建，把标识放在刚建好的资源组里，给它起个名字，然后审阅并创建。这个标识会分配给Web应用使用，应用借此获得身份，不用再手动管理任何密钥字符串。
标识建好了，但它现在什么权限都没有。你需要精准授权：这个标识只需要读取和列出容器与Blob的能力，多一分都不要。进入存储账户的"访问控制"边栏选项卡，选择"添加角色分配"。在作业函数角色页面搜索并选中"存储Blob数据读取者"，这个角色恰好满足只读加列表的需求。进入成员页面，选择"托管标识"，在成员筛选下拉框中找到"用户分配的托管标识"，选中刚创建的那个标识，确认选择并完成分配。
现在这套环境的基础骨架搭好了：存储账户用于存放数据，托管标识提供无密钥的身份认证，RBAC角色分配把权限收紧到只读级别。如果你还需要保护某些记录不被篡改——比如合规要求的审计日志——下一步可以配置不可变Blob存储策略。这项策略在保留期内锁定数据，任何覆盖或删除操作都会被拒绝，等于给关键资产加了一层物理级别的写保护。
把凭证从代码里抽走，把权限关进角色分配的笼子里，再把核心数据锁进不可变策略的时间窗口——这三步走完，你的存储环境就从一个依赖密钥共享的开放状态，迁移到了以身份为边界的受控架构。所有操作记录可追踪，权限可随时回收，密钥泄露的风险也不再成立。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
