如何在Azure Blob存储中的一个静态网站中启用Azure AD（安全活动目录）身份验证

Question

我正在通过$ web容器在azure存储帐户的BLOB存储中托管静态网站，并且我需要使用AD（Azure活动目录）身份验证来放置静态网站，但是我不知道这些步骤是如何完成的进行身份验证

Answer 1

MSFT文档网站上直接提供了很多内容，可以在App service plan - authentication

中找到

Answer 2

简短的回答是，您没有可以切换到此行为的切换键。 但是请继续阅读，因为有一种方法可以实现相同的行为。

听起来您在追求类似于App Service（包括Functions Apps）所提供的东西，并且通常被称为EasyAuth：https://docs.microsoft.com/en-us/azure/app-service/configure-authentication-provider-aad。

AFAIK，Blob存储不存在等效功能。它是一项被动服务，不会为您做任何身份验证。它没有启用隐式流。这意味着它将接受您提供的OAuth令牌，但不允许用户直接对其进行身份验证。

假设这是一个单页应用程序，并且您不想保护静态文件（.html，.js，.css等），而仅保护以blob形式存在或位于托管API后面的某些数据在受AAD保护的其他地方，实现此目标的一种方法是创建两个容器：

1. 启用“静态网站”时创建的$ web容器
2. 一个“数据”容器，具有“访问级别=私有（无匿名访问）”

这些容器到位后，使用RBAC继续为“数据”容器甚至该容器中的每个单独blob分配权限。

最后一步是在$ web容器中托管的单页应用程序中使用MSAL.js，以获得访问blob所需的令牌。说明如何执行此操作会使答案太长，但是MSAL.js文档中对此进行了很好的介绍。