azure - 存储帐户生命周期策略管理需要哪些 Azure IAM 权限才能发挥作用？

Question

在我的测试订阅中添加了一项策略，它按预期工作。我的 PROD 子工作中的相同策略不会执行任何操作，它应该将 blob 从热访问层移动到冷访问层。在我的测试子上，我拥有所有者权限和存储 blob 数据贡献者权限。在我的 PROD 子上，我有存储帐户贡献者和存储 blob 数据所有者，我是否还应该添加存储 blob 数据贡献者权限？这不会包含在存储帐户贡献者中吗？

Answer 1

In order to work with Azure Storage Account Life Cycle Management policies, you need role that includes Microsoft.Storage/storageAccounts/managementPolicies/write permission.

允许您使用生命周期管理策略的有效角色是:

• 所有者 - 它授予您管理所有资源以及分配角色的完全访问权限。
• 贡献者 - 它不允许您分配角色，但会授予管理所有资源的完全访问权限。
• 存储帐户贡献者 - 它授予您管理存储帐户的完全访问权限(仅限)。

由于您的测试订阅拥有所有者权限，因此您可以管理生命周期管理策略。

要确认这一点，请单击该角色并检查存储管理策略:

无需将Storage Blob Data Contributor角色分配给Prod订阅，因为它已经拥有Storage Account Contributor角色strong> 角色包括以下操作:

我尝试通过分配存储帐户贡献者角色在我的环境中重现相同的结果，并得到以下结果。

我创建了一个生命周期管理策略，将 blob 从热层移动到冷访问层，如下所示:

转到 Azure 门户 -> 存储帐户 -> 您的帐户 -> 生命周期管理 -> 添加角色

当我检查 blob 时，它们仍处于Hot 访问层，如下所示:

由于我最近创建了该政策，因此可能需要长达 48 小时才能生效，如下所述:

如果是您的情况，请等待预定的时间段并在几天后检查。

当我在几天后检查时，Blob 已从 hot 移动到 cool 访问层，如下所示:

更新:

请查看此 Microsoft Doc 的以下注释 确认如果为您的存储帐户启用了防火墙规则，管理策略将被阻止。

您需要选择如下异常(exception)，以允许访问受信任的 Azure 服务:

引用文献:

Grant access to trusted azure services | Microsoft Docs

Managing the lifecycle policies - Azure Storage | Microsoft Docs