在Azure Blob存储中创建用户之间逻辑分隔的最佳方法

Question

我试图了解云存储如何与Azure Blob存储协同工作。该用例是一个微服务架构，带有几个API和一个前端，用户可以在其中上传、下载和删除Blob。

我有两种类型的Blob，一种是所有用户都可以访问的个人资料图片和资产，另一种是用户拥有的Blob，只有某些用户可以查看/下载（同一公司的用户、网站管理员…）。

我们有三个概念，我正试图弄清楚目的：

• 存储帐户，那就是我，Azure帐户持有者

上传blob只能使用我的微服务体系结构的前端，因此身份验证将是我想要构建的新服务的服务对服务。

下载blob它将公开一个URL，当用户单击该URL时，我将对照AuthService检查用户是否已登录会话（如果没有，则重定向到登录前端），然后我需要请求用户是否有权下载此blob。

我该怎么做？

我想点击网址，用AuthService检查用户是否登录，下载服务询问用户信息，然后对照blob元数据检查blob的所有权。这需要在上传过程中将信息存储为entity_id、user_id等元数据。我不知道...

Answer 1

您是否考虑在前端实现一个应用编程接口/功能，以生成用户应该有权访问的特定Blob的SAS URL？这样，该应用编程接口可以随心所欲地验证用户权限，如果用户的请求签出，您将向他提供SAS URL，该URL将在您选择的时间过期，并且可以在特定Blob上读取/写入/删除（您选择的）。

此外，我强烈建议将存储账户与存储账户分开，存储账户中保存的系统数据完全是系统内部的，存储账户中的blob可供用户访问。这是因为SAS URL确实包含存储帐户DNS，这会使其暴露于DDOS和其他基于DNS的攻击，因此在我看来，您应该将其范围限制为仅允许用户以任何方式访问所需的Blob。