Você está implementando um data lake para análise e deve restringir um grupo chamado DataScientists a acesso somente leitura no caminho /raw/sales dentro de um único contêiner. Eles não devem ver dados em outras pastas. Novos arquivos em /raw/sales devem herdar as mesmas permissões. O que você deve fazer?

A criação da conta de armazenamento com namespace hierárquico habilitado (Azure Data Lake Storage Gen2) é fundamental porque permite o uso de ACLs (Listas de Controle de Acesso) no estilo POSIX, que são necessárias para definir permissões granulares em diretórios e arquivos específicos, como /raw/sales. Definir ACLs no estilo POSIX no diretório /raw/sales com permissões r-x (leitura e execução) para o grupo DataScientists garante que eles possam ler os dados e listar o conteúdo do diretório, mas não modificar ou excluir. A configuração de ACLs padrão nesse diretório assegura que novos arquivos criados herdem essas mesmas permissões, atendendo ao requisito de herança. Atribuir a função Storage Blob Data Reader no escopo da conta de armazenamento seria muito amplo, concedendo acesso de leitura a todos os dados na conta, o que viola o requisito de acesso restrito a /raw/sales. Gerar um SAS em nível de contêiner não oferece a granularidade necessária para restringir o acesso a um subdiretório específico e não suporta herança de permissões. Habilitar o protocolo NFS não é a solução para controle de acesso granular baseado em diretório no Azure Data Lake Storage Gen2.