Cấu Hình Bảo Mật Azure Blob Storage trong .NET Web API

Khi bạn phát triển một ứng dụng .NET Web API tích hợp với Azure Blob Storage, một trong những điều quan trọng nhất bạn cần xác định là cách bảo mật nó. Việc mã hóa chuỗi kết nối có thể giúp bạn khởi động nhanh chóng, nhưng đó chắc chắn không phải là điều bạn muốn làm trong môi trường sản xuất.

Tin tốt là Azure cung cấp cho chúng ta một vài tùy chọn khác nhau, từ chuỗi kết nối đơn giản đến những thiết lập nâng cao hơn như token SAS và danh tính được quản lý. Trong bài viết này, chúng ta sẽ đi qua từng tùy chọn và xem xét một số ví dụ thực tế.

Mục Lục

1. Bắt Đầu – Azure Storage SDK
2. Tùy Chọn 1 – Chuỗi Kết Nối (Nhanh, Nhưng Không An Toàn)
3. Tùy Chọn 2 – Chữ Ký Truy Cập Chia Sẻ (SAS Tokens)
4. Tùy Chọn 3 – Danh Tính Quản Lý + Azure AD (Tốt Nhất Cho Sản Xuất)
5. Ví Dụ: Tải Lên Tập Tin
6. Kết Luận

1. Bắt Đầu – Azure Storage SDK {#bat-dau-azure-storage-sdk}

Đầu tiên, hãy cài đặt gói Azure Storage Blob:

dotnet add package Azure.Storage.Blobs

Tiếp theo, đăng ký BlobServiceClient trong Web API của bạn:

using Azure.Storage.Blobs;

builder.Services.AddSingleton(_ =>
{
    var connectionString =  builder.Configuration.GetConnectionString("AzureBlobStorage");
    return new BlobServiceClient(connectionString);
});

Điều này sẽ cung cấp cho bạn một BlobServiceClient sẵn sàng sử dụng ở bất kỳ đâu trong ứng dụng của bạn thông qua Dependency Injection.

2. Tùy Chọn 1 – Chuỗi Kết Nối (Nhanh, Nhưng Không An Toàn) {#tuy-chon-1-chuoi-ket-noi-nhanh-nhung-khong-an-toan}

Trong appsettings.json:

{
  "ConnectionStrings": {
    "AzureBlobStorage": "DefaultEndpointsProtocol=https;AccountName=youraccount;AccountKey=yourkey;EndpointSuffix=core.windows.net"
  }
}

Điều này hoạt động tốt cho phát triển cục bộ, nhưng việc lưu trữ khóa tài khoản trong cấu hình là rất rủi ro. Nếu ai đó truy cập vào tệp đó, họ sẽ có toàn quyền kiểm soát tài khoản lưu trữ của bạn. Hãy sử dụng nó cho các buổi giới thiệu nhanh hoặc thử nghiệm, nhưng tránh sử dụng trong sản xuất.

Thực Hành Tốt

• Tránh mã hóa khóa tài khoản trong mã nguồn.
• Sử dụng các phương pháp bảo mật khác cho môi trường sản xuất.

3. Tùy Chọn 2 – Chữ Ký Truy Cập Chia Sẻ (SAS Tokens) {#tuy-chon-2-chu-ky-truy-cap-chia-se-sas-tokens}

Các token SAS là một cách an toàn hơn để cung cấp quyền truy cập tạm thời, có giới hạn. Thay vì tiết lộ khóa tài khoản của bạn, bạn có thể tạo một token có thời hạn sử dụng ngắn và chỉ cho phép thực hiện các hành động cụ thể (đọc, ghi, xóa, v.v.).

Ví dụ:

var blobUri = new Uri("https://youraccount.blob.core.windows.net/container/blob.txt?<SAS_TOKEN>");
var blobClient = new BlobClient(blobUri);

Theo cách này, Web API của bạn không bao giờ phải xử lý các khóa tài khoản. Thay vào đó, bạn chỉ phát hành các token có thời hạn ngắn. Điều này rất tiện lợi cho các tình huống mà người dùng cần tải lên hoặc tải xuống tệp trực tiếp.

Thực Hành Tốt

• Sử dụng SAS cho các tác vụ có thời gian và quyền truy cập hạn chế.
• Đảm bảo token SAS được cấp phát cho đúng đối tượng và thời gian.

4. Tùy Chọn 3 – Danh Tính Quản Lý + Azure AD (Tốt Nhất Cho Sản Xuất) {#tuy-chon-3-danh-tinh-quan-ly-azure-ad-tot-nhat-cho-san-xuat}

Tùy chọn tốt nhất trong hầu hết các thiết lập sản xuất là tránh quản lý bí mật hoàn toàn và dựa vào xác thực Azure AD với Danh tính Quản lý.

Cách thức hoạt động:

1. Bật Danh tính Quản lý cho Web API của bạn trong Azure.
2. Gán vai trò Storage Blob Data Contributor cho danh tính của Web API trong tài khoản lưu trữ của bạn.
3. Sử dụng DefaultAzureCredential trong ứng dụng của bạn để xử lý xác thực tự động.

using Azure.Identity;
using Azure.Storage.Blobs;

builder.Services.AddSingleton(_ =>
{
    var accountUrl = new Uri("https://youraccount.blob.core.windows.net/");
    return new BlobServiceClient(accountUrl, new DefaultAzureCredential());
});

DefaultAzureCredential() là gì?

DefaultAzureCredential là một phần của thư viện Azure Identity. Hãy nghĩ về nó như một con dao đa năng cho xác thực. Nó sẽ thử nhiều phương pháp xác thực theo thứ tự cho đến khi một phương pháp thành công:

• Biến môi trường
• Danh tính quản lý (khi chạy trên Azure)
• Tài khoản đang đăng nhập trong Visual Studio hoặc Azure CLI (khi chạy cục bộ)

Điều này có nghĩa là bạn không cần thay đổi mã giữa phát triển và sản xuất. Nó “chỉ hoạt động” trong cả hai môi trường.

Thực Hành Tốt

• Sử dụng danh tính quản lý để giảm thiểu việc quản lý bí mật.
• Gán vai trò một cách hợp lý để đảm bảo an toàn.

5. Ví Dụ: Tải Lên Tập Tin {#vi-du-tai-len-tap-tin}

Dưới đây là một ví dụ đơn giản về việc tải lên một tệp sử dụng BlobServiceClient đã được tiêm:

[ApiController]
[Route("api/[controller]")]
public class FilesController : ControllerBase
{
    private readonly BlobServiceClient _blobServiceClient;

    public FilesController(BlobServiceClient blobServiceClient)
    {
        _blobServiceClient = blobServiceClient;
    }

    [HttpPost("upload")]
    public async Task<IActionResult> UploadFile(IFormFile file)
    {
        var container = _blobServiceClient.GetBlobContainerClient("uploads");
        await container.CreateIfNotExistsAsync();

        var blobClient = container.GetBlobClient(file.FileName);

        using var stream = file.OpenReadStream();
        await blobClient.UploadAsync(stream, overwrite: true);

        return Ok(new { blobUrl = blobClient.Uri.ToString() });
    }
}

Controller này tạo container nếu nó chưa tồn tại, tải tệp lên và trả về URL của blob.

Kết Luận {#ket-luan}

• Chuỗi kết nối - tốt cho thử nghiệm nhanh, không an toàn cho sản xuất.
• SAS tokens - tuyệt vời cho quyền truy cập tạm thời, có giới hạn.
• Danh tính quản lý + Azure AD - phương pháp an toàn, sẵn sàng cho sản xuất.
• DefaultAzureCredential - giúp xác thực cục bộ và đám mây trở nên liền mạch.

Khi thiết kế API, hãy luôn nghĩ về ai nên truy cập lưu trữ của bạn và trong bao lâu. Chuyển từ việc sử dụng bí mật sang danh tính quản lý và token SAS là chìa khóa để giữ cho ứng dụng của bạn vừa an toàn vừa có thể mở rộng.

🚀 Trong bài viết tiếp theo, chúng ta sẽ xem xét phục vụ tệp an toàn từ Blob Storage thông qua Web API của bạn, bao gồm các mô hình tải xuống và chiến lược caching.