Azure SDK for CPP迁移后Blob读取403权限问题排查咨询

一、先确认新版SDK的终结点是否正确 #

• 直接抓包或者启用SDK日志，检查请求发往的终结点是不是专用终结点（格式应为*.privatelink.core.windows.net或*.privatelink.dfs.core.windows.net）。新版SDK在启用分层命名空间时，可能默认优先使用DFS终结点，得确认和旧版的终结点使用逻辑是否一致。
• 检查客户端配置：新版SDK有没有正确配置专用终结点？比如是不是在BlobClientOptions或DataLakeClientOptions里指定了自定义终结点，还是依赖Azure AD服务发现自动获取？旧版可能是直接拼接存储账户名+后缀，新版的配置逻辑可能不同。

二、排查SDK操作对应的权限差异 #

1. 操作对应的RBAC权限有变化 #

旧版SDK的list_blobs对应RBAC权限是Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list，但新版：

• 如果用DataLake的listPaths，对应的权限是Microsoft.Storage/storageAccounts/blobServices/containers/blobs/filesystem/read（或更细粒度的list权限）
• 用Blob的listBlobsByHierarchy时，要确认对应的REST API是否变更，会不会需要新的权限。

2. 新版可能新增预请求 #

新版SDK可能在调用getProperties或列表操作前，额外发起OPTIONS请求或元数据检查请求，这些请求需要的权限旧版可能没用到，得看看自定义角色有没有覆盖这些权限。

三、检查自定义角色的权限 #

• 对比新旧版所需权限：
  • 旧版需要：Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list、Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read（对应getProperties操作）
  • 新版用DataLake客户端的话，需要Microsoft.Storage/storageAccounts/blobServices/containers/blobs/filesystem/list、Microsoft.Storage/storageAccounts/blobServices/containers/blobs/filesystem/read这类权限
• 用Azure CLI执行az role definition show --name "你的自定义角色名"，查看权限清单，确认是否遗漏了新版需要的权限。
• 临时给测试主体添加Storage Blob Data Reader内置角色试试，如果能解决403，说明自定义角色缺权限，再逐步排查具体缺失的权限项。

四、代码配置要对齐旧版逻辑 #

• 新版的身份验证方式和旧版一致吗？旧版用连接字符串的话，新版是不是换成Azure AD令牌了？如果是AD认证，得确保服务主体的角色分配正确，令牌的作用域也符合要求。
• 检查BlobClientOptions或DataLakeClientOptions的配置，比如有没有正确适配分层命名空间，有没有设置专用终结点优先的模式。

旧版代码 #

if(path.size() > 0) {
    cloud_blob_directory dirInfo = storageContainer.get_directory_reference(path);
    blobList = dirInfo.list_blobs(false, blob_listing_details::metadata, 0, requestOptions, operationContext);

    prefix = dirInfo.prefix();
}
else {
    blobList = storageContainer.list_blobs(utility::string_t(), false, blob_listing_details::metadata, 0,
            requestOptions, operationContext);
}

新版代码 #

if (fileSystem->isHierarchicalNamespaceEnabled()) { 
    auto directoryClient = fileSystem->getDataLakeClient().getDirectoryClient(pathVar);
    dataLakePages = directoryClient.listPaths(false, dataLakeOptions);
    dataLakeIterator = dataLakePages.Paths.begin();
    return; 
}

blobOptions.Prefix = prefixVar;
if (!blobOptions.Prefix.Value().empty() && blobOptions.Prefix.Value().back() != '/') {
    blobOptions.Prefix.Value().append("/");
}

delimiter = "/";
prefixVar = blobOptions.Prefix.Value();
blobPages = fileSystem->getBlobContainer()->listBlobsByHierarchy(delimiter, blobOptions);
blobIterator = blobPages.Blobs.begin();

内容的提问来源于stack exchange，提问作者John Doe