如何限制“服务原理”对ADLS Gen2中特定文件夹的访问？

Question

我正在尝试使用服务原理将Power BI连接配置为ADLS Gen2。我想限制对特定文件夹（及其下面的子文件夹）的访问。

似乎服务原则需要在容器级别添加到“数据读取器”或“数据贡献者” RBAC角色。这会自动授予对容器根目录下整个文件夹的访问权限。

如何将Service Principle的访问权限限制为特定的文件夹级别？

谢谢

Answer 1

如果您想将Service Principle的访问权限限制为特定的文件夹级别，我们可以使用Access Control List来实现。 ACL使用读取，写入和执行来控制访问。

关于如何使用这些权限控制访问权限，请参阅document。 例如，如果我们要读取一个文件夹中的文件，则需要授予安全主体Execute到容器的权限，并赋予导致文件的文件夹层次结构和{{1} }，使用Azure Storage Explorer对该文件的权限。

但是，请注意，我们不能使用访问控制列表来提供低于Azure RABC角色分配所授予的访问级别的访问级别。例如，如果您将 Storage Blob数据贡献者角色分配给服务主体，则不能使用访问控制列表来阻止该服务主体写入目录。因此，建议您在使用ACL控制访问时删除服务主体Azure RABC角色分配。