Azure 儲存體共用存取簽章（SAS）是一種把資源、權限及有效期限編碼在 URL 查詢參數中的委派方式。它可以讓應用程式或外部使用者在不取得儲存帳戶金鑰的情況下，於限定時間內存取指定資料；但 SAS 本身通常是持有者憑證，連結一旦外洩便可能被重用。因此安全設計的重點不是「生成一條 URL」而是最小權限、短時效、傳輸保護、記錄及撤銷預案。
只授予所需資源及操作，例如單一 Blob 的讀取或寫入，不要為下載任務授予刪除或列出容器權限。
設定合理的開始及到期時間，並在可行時加入受限 IP 或 HTTPS 協議要求，避免長期有效的公開連結。
以使用者委派 SAS 取代長期帳戶金鑰，配合 RBAC、受控身分及金鑰輪換，減少高權限秘密散落在程式碼及日誌。
使用者委派 SAS 由 Microsoft Entra 身分及 RBAC 授權簽發；服務 SAS 針對特定儲存服務資源；帳戶 SAS 可跨越多項服務，權限範圍較廣。應按照應用程式實際需要選擇，避免以方便為由使用過寬的帳戶 SAS。
由後端驗證使用者及業務權限，再按請求生成短期 SAS；前端只取得完成單一工作所需的 URL。不要將 SAS 寫入原始碼、版本控制、分析追蹤或一般應用程式日誌，並避免在 query string 轉發到不相關的第三方服務。
SAS 沒有一個可像密碼般逐條查詢的中央清單。若使用儲存體存取政策，可透過更新或刪除政策來改變服務 SAS 的授權；對帳戶金鑰簽發的 SAS，則需輪換相關金鑰。發現外洩時應立即停用或輪換簽發根源、檢查記錄、縮短影響時間並重新發行。
| 項目 | 應核對內容 |
|---|---|
| 需求 | 資料分類、RPO、RTO、使用者及應用程式依賴。 |
| 安全 | 身分驗證、最小權限、網絡隔離、審計及秘密管理。 |
| 營運 | 監控、警報、容量、成本、變更審批及回退方案。 |
| 復原 | 以測試資料演練復原，記錄實際時間、限制及責任人。 |
不確定如何應用於實際環境？我們的工程師可按現場情況提供建議，免費解答及報價。
WhatsApp 即時查詢若閣下正計劃相關工程或需要選購設備，歡迎瀏覽網絡工程服務了解方案詳情，或透過網上快速報價與我們的工程師聯絡。
產品規格以原廠最新文件為準；有需要請聯絡我們工程師。