Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

Support storage-account-level Azure RBAC authentication in attach (WAT) flow

Abierto
  • ¿Algo no está bien?
#9,168 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
55/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
azure
Área
authentication, cloud

Línea de trabajo

Comienza localizando la maquinaria existente de attach del plano de datos utilizada para contenedores individuales y, a continuación, sigue cómo el flujo de attach gestiona el endpoint Blob/dfs y la operación List Containers. Se considera terminado cuando un endpoint de Blob o ADLS con ámbito de cuenta puede hacer attach y explorar con un token de Azure AD sin Reader en la suscripción, mientras que las acciones de administración de cuentas exclusivas de ARM siguen sin estar disponibles.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

:gear: attach :gear: rbac :grey_question: investigate

Feature request

Support storage-account-level Azure RBAC authentication in the "attach with Azure AD" (WAT / Connect) flow.

Problem

Customers following least-privilege want to grant a user a data-plane role - Storage Blob Data Reader or Storage Blob Data Contributor - scoped directly to a single storage account, without granting Reader at the subscription level (which would let the user discover/enumerate every other storage account in the subscription).

Today:

  • Container-level RBAC -> the user can attach and browse that container via Azure AD (data-plane OAuth attach works).
  • Storage-account-level Blob Data RBAC -> the user cannot attach the whole storage account via Azure AD. Account discovery is bound to subscription/ARM enumeration, which requires subscription Reader.

As a result, users with account-scoped Blob Data roles are effectively forced to use subscription Reader + sign-in (over-permissioned) or fall back to SAS/account-key authentication - both of which defeat the least-privilege goal.

Requested improvement

Allow a user who holds Storage Blob Data Reader/Contributor scoped to a specific storage account to attach and browse that account's blob/ADLS data plane via Azure AD, by supplying the account's blob/dfs endpoint (e.g. https://<account>.blob.core.windows.net) and an Azure AD token - without requiring subscription-level Reader.

The natural implementation reuses the existing data-plane attach machinery (already used for single containers) and enumerates the account's containers using the data-plane List Containers operation, which is permitted for Storage Blob Data Reader.

Scope / caveats

  • This is a data-plane capability (browse containers/blobs/ADLS paths). Account management operations that are ARM-only (viewing keys, account properties/config) would remain unavailable for a data-plane-only attach and should be greyed out or hidden.
  • Applies to Blob and ADLS Gen2 endpoints; File/Queue/Table data-plane RBAC could be considered separately.

Why now

Repeatedly requested by customers via CSS. Complements the broader RBAC-experience investigation in #8650, but is a specific, self-contained gap: account-scoped Blob Data RBAC cannot be used to attach an account today.

Lenguaje dominante
Sin datos de lenguaje
Estrellas
455
Forks
92
Sin PR fusionados en 30 d

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de microsoft/AzureStorageExplorer

Todos los issues de microsoft/AzureStorageExplorer

Issues similares

Más issues de Security

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.