Azure BLOB SASでのストレージ承認

Question

私は、ドキュメントとイメージを格納するためにAzure Blobストレージを使用するWebアプリケーション（ASP.NET MVC）を持っています。各ユーザはブロブへの特定のアクセス権を持ち、この はWebアプリケーションのデータベースに格納されています。

現在、私は、Webアプリケーションを承認を実行する中間層として使用し、クライアントがBLOBへの読み取りアクセス権を持っている場合、 をAzureから最初に取得し、クライアントに配信します。これはもちろん、さまざまな理由で最適な方法ではありません。

私はSAS（Shared Access Signatures）を使用してこの部分を再構築しましたが、ユーザーとファイルの数が増えるにつれて拡張性の高いシステムを設定するための良い情報源が見つかりませんでした。ユーザー数は約100、ブロブ数は100000程度になると予想しています。

私には2つの選択肢があります。

1）すべてのファイルには、Webアプリケーションデータベースに1つの署名が格納されています。これは、ファイルにアクセスできるすべてのユーザーに使用されます。これは簡単な方法です（ ）。何らかの理由でユーザーがファイルにアクセスできない場合は、以前のアクセスからのリンクがあればファイルにアクセスできます。

2）すべてのファイルには、ファイルにアクセスできるユーザーごとに固有の署名があります。これにより、ファイルへのアクセスを取り消すことが容易になりますが、署名数は となり、これに副作用がありますか？

これ以上のオプションはありますか？

これについてのご意見は大変ありがとうございます。

Answer 1

ユーザーごとにSASを用意するのではなく、ファイルをロールでグループ化し、ユーザー数に関係なく容易に拡張できるロールにユーザーをマップする方がよいでしょう。

また、ユーザーがblobに直接アクセスできるようにすることは、アプリケーションを通じてBLOBコンテンツを配布する場合にはお勧めしません。したがって、ユーザーの役割のコンテキストで特定のアプリケーションへのアクセスを提供します。

リンクが設定されているユーザーが2分間で有効期限が切れるようにtwominute SASを生成するには、下記の記事を参照してください。

http://www.dotnetcurry.com/windows-azure/901/protect-azure-blob-storage-shared-access-signature

は、この情報がお役に立てば幸いです。 :)