ADLS Gen2中针对即将到来的用户的文件夹级别访问控制

Question

我有一个Gen2存储帐户并创建了一个容器。

文件夹结构看起来像这样

StorageAccount
  ->Container1
    ->normal-data
      ->Files 1....n
    ->sensitive-data
      ->Files 1....m

我只想将read only access和normal-data的{​​{1}}给用户

这可以通过setting ACL's on the folder level并允许访问安全服务原理来实现。

但是这种方法的局限性在于，用户只能在设置ACL之后访问加载到目录中的文件，因此不能访问目录中已经存在的文件。

由于此限制，无法为新用户授予完全读取访问权限（除非新用户使用相同的服务原理，这在我的用例中不是理想的情况）

请在ADLS Gen2中建议一种只读访问方法，其中

1. 如果文件夹下已经存在文件，并且已加入新用户，则他应该能够读取该文件夹下的所有文件
2. 新用户应该只能访问NOT sensitive-data文件夹，而不能访问normal-data

PS：有一个用于分配ACL's recursively的脚本。但是由于我每天将在sensitive-data文件夹下获得近百万条记录，因此使用递归ACL脚本对我来说是不可行的

Answer 1

您可以创建一个Azure AD安全组，并为该组授予对只读文件夹的只读访问权限。

然后，您可以将新用户添加到安全组。

请参阅：https://docs.microsoft.com/en-us/azure/active-directory/fundamentals/active-directory-groups-create-azure-portal