azure - 如何在 Azure 中 key 轮换后满足客户端对存储 Blob 的请求

Question

我有一些资源的 blob 存储。我向客户端提供 SAS token ，并且每个 token 都是仅为客户端的特定 blob 生成的。一段时间后，我想轮换我的帐户 key ，因此所有实际客户的 token 都将失效(客户没有帐户 key ，他们只有 token )。

我想知道是否有人有类似的情况，当使用 REST API 到 Azure 存储时必须在 key 轮换后向客户端提供新的 SAS token 。我知道在这种情况下客户端将收到 403 Unauthorize，因此一种选择是发送另一个新 token 请求，然后重试资源请求。

或者也许我可以发回 301 Moved http 代码和重新生成新 token 的 REST 端点的链接，因此客户端不必拥有有关另一个端点的额外知识。

有人有这样的代币轮换经验吗？

Answer 1

正如评论中提到的，由于您的客户端直接访问 blob，您不会知道他们是否收到 403 错误，除非他们告诉您同样的情况。

如果可以的话可以看看Authorize access to Azure blobs and queues using Azure Active Directory ，配置完成后，即使轮换账户 key ，客户端也可以访问存储。但此功能至少适用于容器级别，而不是 blob 级别，不确定是否可以接受。