ストレージアカウントレベルによるコンテナーと Blob に対するパブリックアクセスの無効化について

作成したストレージアカウントを Blob ストレージとして使用する場合、コンテナーを作成する必要がありますが、以前は設定できていたパブリックアクセスの項目がグレーアウトされていることに気が付きました。

ドキュメントを調べてみたら、セキュリティの観点から最近追加された設定のようです。コンテナーと Blob レベルのパブリックアクセスの既定値は、「プライベート (匿名アクセスはありません)」ですが、不用意に匿名読み取りアクセスさせないようにストレージアカウントレベルで制御可能になっているようです。

Remediate anonymous read access to blob data (Azure Resource Manager deployments) - Azure Storage

Learn how to analyze current anonymous requests against a storage account and how to prevent anonymous access for the en...

後述しますが、新規にストレージアカウントを作成する際、既定ではコンテナーと Blob に対するパブリックアクセスはストレージアカウントレベルでは有効ですが、Azure ポータルから作成する際は無効になっていました。
※2020/07/15 追記。Azure ポータルから作成する場合も有効の設定で修正された模様。

ストレージアカウントレベルのパブリックアクセス無効化について、既定の設定値を含む、無効化の設定や確認方法について纏めてみました。

ストレージアカウントレベルのパブリックアクセス無効化について
参考

ストレージアカウントレベルのパブリックアクセス無効化について

※2020/07/14 時点で確認した内容となるため、今後変更になる可能性があります。

新規ストレージアカウント作成時のパブリックアクセス設定について

Azure ポータル

Azure ポータル (既定値の変更なし) でストレージアカウントを作成した場合には、パブリックアクセスは無効となっています。
※2020/07/15 追記。Azure ポータルから作成する場合も有効の設定で修正された模様。

Azure PowerShell、Azure CLI、ARM テンプレート

Azure PowerShell、Azure CLI、ARM テンプレートでストレージアカウントを作成した場合には、パブリックアクセスは有効となっています。

ARM テンプレートの場合、後述する特定の項目を追加、設定することで作成時に無効化することは可能ですが、Azure PowerShell、Azure CLI について、(2020/07/14 時点では) 無効化するためのパラメーターは確認されませんでした。
※2020/07/15 追記。Azure PowerShell v4.4.0 以降、Azure CLI 2.9.0 以降であれば、無効化の設定ができるようです。

パブリックアクセスを無効化する方法について

Azure ポータル、もしくは ARM テンプレートを用いてストレージアカウントレベルのパブリックアクセスを無効化することが可能です。
※2020/07/15 追記。Azure PowerShell v4.4.0 以降、Azure CLI 2.9.0 以降であれば、無効化の設定ができるようです。

新規にストレージアカウントを作成する場合

Azure ポータル

ストレージアカウントの作成にて、[詳細] タブの [BLOB パブリックアクセス] の項目で「無効」に設定します。

ARM テンプレート

ARM テンプレートの resources セクション内、properties 要素として allowBlobPublicAccess の項目を追加することで、ストレージアカウントレベルでパブリックアクセスを無効化することが可能です。

"resources": [
    {
        ...
        "properties": {
            ...
            "allowBlobPublicAccess" : false,
            ...
        },
        ...
    }
]