データに届く3つの鍵

• アカウントキー … アカウントの中のすべてに届く、いちばん強い鍵。2つあり、片方ずつ入れ替える（ローテーション）
• SAS（共有アクセス署名） … 「どこに・何を・いつまで」を絞った、期限付きの通行証
• Microsoft Entra ID による認可 … RBAC のデータ用のロール（例: ストレージ BLOB データ閲覧者）を与える。鍵を配らずに済む

SAS の3種類

• ユーザー委任 SAS … Entra ID の資格情報で署名する。Microsoft が推奨する
• サービス SAS … アカウントキーで署名し、1つのサービスに限る
• アカウント SAS … アカウントキーで署名し、複数のサービスに届く

保存されたアクセスポリシー

コンテナーなどに期限と権限を決めた「保存されたアクセスポリシー」を作り、サービス SAS をそれにひも付けると、ポリシーを変えたり消したりするだけで SAS を無効にできます。アカウントキーを入れ替えずに済みます。ユーザー委任 SAS とアカウント SAS には使えません。1つのコンテナーに5つまでです。

ネットワークで入口を絞る

ストレージのファイアウォールで、決めた仮想ネットワークや IP アドレスからだけ通します。Azure Files は、Entra ID などの ID でアクセスを与える方法もあります。

• アカウントキーとローテーション
• SAS の3種類と、推奨されるユーザー委任 SAS
• 保存されたアクセスポリシーで SAS を取り消す方法
• Entra ID による認可と、ストレージのファイアウォール