Włączasz uwierzytelnianie Azure AD dla storage1 i potrzebujesz, aby członkowie Group1 mogli przesyłać pliki za pośrednictwem portalu Azure, przestrzegając zasady najmniejszych uprawnień. Które dwie role należy przypisać dla storage1?

Aby członkowie Group1 mogli przesyłać pliki, potrzebują uprawnień do zapisu, które zapewnia rola Storage Blob Data Contributor. Ta rola umożliwia odczyt, zapis i usuwanie danych obiektów blob. Dodatkowo, aby mogli przeglądać zasoby w portalu Azure i nawigować do konta magazynu, potrzebują uprawnień do odczytu na poziomie konta magazynu, co zapewnia rola Reader. Przypisanie roli Reader na poziomie konta magazynu jest zgodne z zasadą najmniejszych uprawnień, ponieważ daje tylko niezbędne uprawnienia do przeglądania, bez możliwości modyfikacji ustawień konta. Rola Storage Account Contributor jest zbyt szeroka, ponieważ daje uprawnienia do zarządzania kontem magazynu, a nie tylko do danych. Rola Contributor jest jeszcze szersza, dając pełne uprawnienia do zarządzania zasobami, co narusza zasadę najmniejszych uprawnień. Rola Storage Blob Data Reader pozwala tylko na odczyt danych, a nie na ich przesyłanie.