如何在Azure中的密钥轮换后满足客户对Storage Blob的请求

Question

我有一些资源的Blob存储。 我向客户端提供SAS令牌，并且每个令牌仅针对客户端的特定Blob生成。 经过一段时间后，我想旋转我的帐户密钥，因此所有实际客户的令牌都将失效（客户没有帐户密钥，他们只有令牌）。

我想知道在使用REST API到Azure存储时是否有人有类似的情况，必须在密钥轮换后向客户端提供新的SAS令牌。 我知道在这种情况下，客户端将获得403 Unauthorize，因此一种选择是发送另一个新令牌请求，然后重试资源请求。

或者，也许我可以发回301移动的http代码并链接到REST端点，以重新生成新令牌，因此客户端不必具有​​关于阳极端点的其他知识。

有没有人像这样的令牌轮换经验？

Answer 1

如评论中所述，由于客户直接访问Blob，除非他们告诉您相同的信息，否则您不会知道他们是否收到403错误。

如果可以接受，则可以查看使用Azure Active Directory授权访问Azure Blob和队列的情况 ，配置完成后，即使旋转帐户密钥，客户端也可以访问存储。 但是此功能至少可以应用于容器级别，而不是斑点级别，不确定是否可以接受。