您正在为分析实现一个数据湖，并且必须将名为 DataScientists 的组限制为对单个容器中路径 /raw/sales 的只读访问。他们不能查看其他文件夹中的数据。/raw/sales 下的新文件应继承相同的权限。您应该怎么做？

要实现对特定路径的细粒度访问控制，您需要一个支持分层命名空间的存储账户。Azure Data Lake Storage Gen2（ADLS Gen2）提供此功能，它基于Azure Blob Storage构建，并启用了分层命名空间。这允许您像传统文件系统一样组织数据，并对目录和文件应用POSIX兼容的访问控制列表（ACL）。 在/raw/sales目录上设置POSIX风格的ACL，并授予DataScientists组r-x（读取和执行）权限，将确保他们只能访问该特定路径下的数据。配置默认ACL是关键，因为它可以确保/raw/sales下创建的任何新文件或子目录都会自动继承这些权限，从而满足新文件继承相同权限的要求。 将Storage Blob Data Reader角色分配给存储账户范围的DataScientists会授予他们对整个存储账户的读取权限，这超出了/raw/sales的范围。生成容器级SAS令牌会授予对整个容器的访问权限，而不是单个目录。启用NFS协议与细粒度访问控制无关。