我有大量 Azure 存储帐户。我想阻止任何用户将数据复制到订阅之外的存储帐户，例如，他们可以复制到同一环境的另一个区域，但不能复制到不同的帐户。有没有明确的方法可以做到这一点？
答案1
Azure 中内置的地理复制仅支持复制到同一帐户中的次要区域，因此这不是可用于传出数据的途径。
鉴于此，您所讨论的场景本质上是用户下载数据然后上传到另一个存储帐户，或者使用 AzCopy 之类的工具将数据从一个帐户移动到另一个帐户。如果用户能够从您的存储帐户下载数据，则 Azure 中没有任何内置功能可以阻止用户这样做。您可以考虑采取一些措施来将风险降至最低：
- 仅向需要的用户提供存储帐户的访问权限
- 不向用户提供存储帐户密钥的访问权限，而是使用有时间限制且仅限于他们需要访问的资源的 SaS 令牌
- 使用特权身份管理要求任何必须有权访问 Azure 门户或 CLI 中的存储帐户的用户获得批准才能提升权限
- 在 Azure 安全中心注册存储帐户以检测可疑活动
- 使用 IP 限制来限制对存储帐户的访问，仅允许从特定位置进行访问