こんばんは。
ちょっとした時間つぶしの記事です。
そこまで深くは書かないけど、概要についてサクッと書いてみようと思います。
Azure のリソースは基本的な単位として、サブスクリプション、リソース グループ、リソースって感じになってます。
契約するととりあえずサブスクリプションっていうのができるんですけど、これが課金の範囲になります。
つまり、サブスクリプションの中にどんなリソースが作られていて、どのくらいの料金がかかりましたよっていう一つの枠になってるっていう感じです。
サブスクリプションっていう枠の中で、フォルダーを作って、リソースを入れておけるんですが、フォルダーの役割をしているのがリソース グループです。
その中に入っているサービスが、リソースです。
概略で考えると、サブスクリプションという箱の中に、小分けにした箱が入ってて、その箱の中におもちゃが入れられている、って感じです。
で、RBAC の話なんですけど、サブスクリプション、リソースグループ、リソースには、ちょっとした鍵みたいなものをつけることができます。
そのカギは、誰が、何をすることができる。みたいな感じになってます。
つまり、サブスクリプションの中を見ることができるけど、リソース グループを作ることはできない。
とか、サブスクリプションは見れないし触れないけど、リソース グループを見ることができて、その中にリソースを作ることもできる。
とか、リソース グループを見ることも、リソースを作ることもできないけど、特定のリソースを使うことができる。
みたいなことができます。
さて、今回の本題は、その中でもストレージ アカウントというリソースに限ったお話です。
やっと本題ですね。
さて、ここまで書いた通り、RBAC は誰が何をすることができる、あるいはできないという鍵です。
つまり、特定の何かに対する権限を設定できるわけです。
全部のリソースを知っているわけではありませんが、ストレージ アカウントは中にある機能が結構多いサービスです。
ストレージっていうくらいだからまあ、データを保存しておくための場所ではあるんですが、保存の仕方にもいろいろあるわけです。
だから、それに合わせて権限もたくさんあるわけです。
そもそもストレージ アカウントというリソースを操作するための権限や、BLOB コンテナーを操作するための権限、ファイル共有機能を操作するための権限などがあります。
今回の記事のメインは、それぞれの機能によって、付与すべき RBAC がそれぞれあるので、新しい機能を使うときは毎回設定が必要ですよ!っていうお話です。
BLOB コンテナーが操作できるように設定してても、ファイル共有を使うならそのための RBAC を付与しないとできないですよ、っていう感じです。
そもそも、ストレージ アカウントを操作することができる、単純な所有者や共同作成者のロールは、中に入れるデータの操作までは許可してくれません。
ストレージ アカウントを使用する時点で、どの機能を使用するのか、その機能を使用するために必要な RBAC が何なのかを調べて、先に設定しておかないとまともに使えないので、こんなことをわざわざ記事にするほどのことでもないんですけどね。
自分は、BLOB コンテナーを初めて使った時に、なぜ使えないのか?と無限に考えていたころがありました。
結局、ストレージ BLOB データ共同作成者などの BLOB データを操作するための RBAC を付与していなかったことが要因だったんですけど。
これ、多分よくある設定漏れだと思うので、使ってる人は、あー、これかー。って感じだと思いますけど、初心者だとわからないこともあると思うので書いてみました。
まあ、MS Learn を読めば制限事項とかによく書かれてるので、仕事で Azure を使おうって人はそんなの書いてんじゃん。って感じかもしれませんけど。
それじゃ、今回はこの辺で終わります。
1600 字にも及んだので、読むのがだるくなりそうですが、お付き合いくださった方はありがとうございました。
おやすみなさい。