Azure Blob Storage では、ストレージアカウントに格納したデータにアクセスする際に、既定で認証が必要です。
そのため、Blob URL をそのままブラウザに入力してアクセスしただけでは、認証エラーで弾かれてしまいます。

Azure Blob Storage の認証方法は、下記が用意されています。
・アカウントアクセスキー認証
・Azure AD 認証

◆アカウントアクセスキーを使用する
アカウントアクセスキーを使用して BLOB データにアクセスするには、Azure RBAC アクション Microsoft.Storage/storageAccounts/listkeys/action を含む Azure ロールが割り当てられている必要があります。この Azure ロールは、組み込みロールまたはカスタムロールのどちらでも構いません。 Microsoft.Storage/storageAccounts/listkeys/action をサポートする組み込みロールには、権限が最小のものから最大のものの順に、次のものが含まれます。
・閲覧者とデータアクセスロール
・Storage Account の共同作成者ロール
・Azure Resource Manager の共同作成者ロール
・Azure Resource Manager の所有者ロール

◆自分の Azure AD アカウントを使用する
Azure AD アカウントを使用して、Azure portal から BLOB データにアクセスするには、次のステートメントが両方とも自分に当てはまる必要があります。
・BLOB データへのアクセスを提供する組み込みロールまたはカスタムロールのいずれかが割り当てられている。
・Azure Resource Manager のリーダーロールが、少なくとも、ストレージアカウント以上のレベルを範囲として割り当てられている。リーダー役割は最も制限の厳しいアクセス許可を付与しますが、ストレージアカウントの管理リソースへのアクセス権を付与する別の Azure Resource Manager ロールも受け入れることができます。

今回は、Azure AD 認証を利用します。
しかし、Azure Blob Storage 単体で、ブラウザからのアクセス時に Azure AD 認証を行う機能がないため、Azure AD 認証を行いたい場合は、あらかじめ発行した SAS を利用することを考えました。

◆ Shared Access Signatures (SAS) を使用して Azure Storage リソースへの制限付きアクセスを許可する
Shared Access Signature (SAS) を使用すると、ストレージアカウント内のリソースへのセキュリティで保護された委任アクセスが可能になります。 SAS を使用すると、クライアントがデータにアクセスする方法をきめ細かく制御できます。次に例を示します。

クライアントがアクセスできるリソース。
それらのリソースに対するアクセス許可。
SAS が有効である期間。

発行した SAS を Blob URL に付け加えることで、ブラウザからアクセスした際に、SAS を利用して要求が承認されます。

<Blob URL 例>
https://<mystorageaccount>.blob.core.windows.net/<myContainer>/sampleblob.txt?sp=racwdli&st=2021-01-01T01:00:00Z&se=2021-01-02T00:00:00Z&spr=https&sv=2020-08-04&sr=c&sig=S5b3mQ8FwAHbBmBhIGRjiejKwu658N%2MHri7%2Fa9yC9LE%3D

SAS の取り扱いは十分注意が必要です。

◆ SAS を使用する際のベストプラクティス
アプリケーションで Shared Access Signature を使用する場合は、次の 2 つの潜在的なリスクに注意する必要があります。

・SAS が漏えいすると、取得した人はだれでも使用できるため、ストレージアカウントの安全性が損なわれるおそれがあります。
・クライアントアプリケーションに提供された SAS が期限切れになり、アプリケーションがサービスから新しい SAS を取得できない場合は、アプリケーションの機能が損なわれる可能性があります。

Azure Blob Storage 側で認証を行う必要がない場合、下記方法でも可能です。
・匿名のパプリックアクセスを許可する
・静的 WEB サイトとして公開

これらの方法では、外部からのアクセスが認証なしで行えます。
利用する際は、Azure Storage のファイアウォール機能で、アクセス元の IP アドレスを制限するなどの方法を検討しましょう。
IP アドレスの制限は、SAS を利用したアクセスでも有効で設定した IP アドレス以外からのアクセスをブロックします。

Azure Storage では、多層型セキュリティモデルが提供されています。このモデルでは、使用されるネットワークまたはリソースの種類とサブネットに基づいて、アプリケーションやエンタープライズ環境で求められるストレージアカウントへのアクセスレベルを確保して制御できます。ネットワークルールを構成すると、指定したネットワークのセットまたは指定した Azure リソースのセットを経由してデータを要求しているアプリケーションのみが、ストレージアカウントにアクセスできます。ストレージアカウントへのアクセスを、指定した IP アドレス、IP 範囲、Azure Virtual Network (VNet) 内のサブネット、または一部の Azure サービスのリソースインスタンスから発信された要求に制限できます。