AzureのSAS（共有アクセス署名）を分かりやすく解説する

こんにちは。今日は、Microsoft Azureに登場するSASという概念について、理解を深めるために調べたことをメモしておきます。

Contents

SAS（共有アクセス署名）の概要

Shared Access Signatures (SAS) を使用して Azure Storage リソースへの制限付きアクセスを許可する

https://docs.microsoft.com/ja-jp/azure/storage/common/storage-sas-overview

上の公式ページに詳細な説明がありますが、まとめると以下がポイントかと思います。

Shared Access Signatureキーの略で、日本語にすると「共有アクセス署名」。
Azure Storageリソースへの制限付き（一定期間、特定リソースのみ、など）アクセス権を付与する署名付きURI。
具体的には、リソース本来のURL＋SASトークンの形式（SASトークンは後述）で表現される
SASトークンは、リソースへのアクセス方法を定義したもの。これを「共有キー」というもので署名している
「共有キー」にはユーザ委任、サービス、アカウントの3種類がサポートされている。（後述）
また、”アドホックSAS”、”保存されているアクセスポリシーによるサービスSAS”の2つの形式がある。（後述）

以下、実際に発行されるSAS URLのサンプルです。コンテンツのURLの後ろ、?に続いて有効期限情報や署名を含んだSASトークンがくっついていることが分かります。

https://＜ストレージアカウント名＞.blob.core.windows.net/＜コンテナ名＞/＜ファイル名＞?sp=r&st=2022-04-23T05:37:27Z&se=2022-04-23T13:37:27Z&spr=https&sv=2020-08-04&sr=b&sig=%2BEqBFTtF%2FPdBfG0LVTGD9DFaTvjfSzE%2BvS8kZFdFL3k%3D

なんでSASが必要なの？

そもそもBlob Storageのコンテンツには、コンテンツのURLを介してアクセスします。が、この単純なURLの状態だと、URLが漏洩しただけで不正なアクセスを許してしまいます。なので、確実にコンテンツを閲覧できるべきユーザだけがアクセスできるような仕組みが必要。
そのための１つの方法として、Front End Proxyを経由させる方法がある。これは、Storageの前段に配置したプロキシサーバ等でユーザの認証を行って、無事認証されたユーザだけがストレージにアクセスできるようにする、という仕組み。
ただ、この方式の場合、リクエスト数の増大に対してFront End Proxyのスケーラビリティにも配慮する必要がある。

ここで登場するのがSAS。SASを利用すると、あらかじめ認証されたユーザは、決められたポリシーに基づいてリソースに自由にアクセスできるようになる。

なお、多くの実際のサービスでは、この２つの方式を組み合わせて運用することも多いとのこと。一部データはプロキシ認証、その他データはSAS URLを使って直接ストレージとやりとり、といった具合。

参考：

https://docs.microsoft.com/ja-jp/azure/storage/common/storage-sas-overview#when-to-use-a-shared-access-signature

３種類のSASを理解する

上にも書きましたが、SASは３種類存在します。ここでは、これらの違いについてまとめます。

ユーザ委任のSAS

概要をまとめると、以下の通りです。

Azure ADの資格情報で保護されたSAS
SAS署名時に、Azure AD資格情報に依存した、ユーザ委任キーを利用して署名される
３つのSASの中でも最もセキュリティが高いとされている
Azure Blob storage と Azure Data Lake Storage Gen2 でサポートされている
許可されるアクセスは、Azure ADのRBACアクセス許可と、SASに明示的に指定されたアクセス許可の積集合で決定される。（RBACでは許可されているが、SASでは許可されていない場合は、そのリソース・サービスへのアクセスは許可されない。逆もしかり。）
セキュリティのベストプラクティスとして、より侵害されやすいアカウントキーを使用するのではなく、可能な限り Azure AD 資格情報を使用することが推奨される
現在、”保存されているアクセスポリシー”では、ユーザー委任の SAS ではサポートされていない

https://docs.microsoft.com/ja-jp/azure/storage/common/storage-sas-overview#user-delegation-sas

作成方法などの詳細は、こちらのMicrosoft公式ドキュメントから確認可能です。

アカウントSAS

概要は以下の通りです。

ストレージアカウントキーを使用して保護されたSAS。
ストレージアカウント単位でのSASを作成可能
一度に1つのストレージアカウント内の複数のサービスへのアクセスを委任可能
現在、”保存されているアクセスポリシー”では、アカウント SAS ではサポートされていない

https://docs.microsoft.com/ja-jp/azure/storage/common/storage-sas-overview#account-sas

サービスSAS

概要は以下の通りです。

アカウントSASと同様、ストレージアカウントキーを使用して保護されたSAS
アカウントSASと異なり、サービス SAS では、Blob、Queue、Table、または File サービスのいずれか1つのみのストレージサービスへのアクセスを委任
他のSASとは異なり、”保存されているアクセスポリシー”(*)を継承したSASを作成可能。

https://docs.microsoft.com/ja-jp/azure/storage/common/storage-sas-overview#service-sas