跨租户通过ADF复制数据至存储账户失败，已配置仍报错

核心报错分析 #

报错明确返回AuthorizationPermissionMismatch，说明请求的操作权限与当前身份拥有的权限不匹配，而非单纯缺少权限。结合跨租户+私有端点的场景，按以下步骤逐一排查：

1. 验证跨租户Service Principal（SP）的有效性 #

• 权限范围确认：确保SP的Storage Blob Data Contributor权限是直接分配到目标存储账户或testContainer容器，而非通过父资源组继承（继承权限可能存在延迟或不生效）。
• 跨租户注册检查：在租户B的Azure AD中，确认该SP已完成跨租户注册（需在目标租户中存在对应的企业应用）。
• 手动权限测试：使用Azure CLI登录该SP，尝试手动上传文件至目标路径，验证SP本身是否具备操作权限：

  az login --service-principal -u <SP应用ID> -p <SP密钥> --tenant <租户B ID>
  az storage blob upload --account-name StorageAccounttest --container-name testContainer --name test/market/testfile.csv --file 本地测试文件路径 --auth-mode login
  

2. 检查托管私有端点与网络配置 #

• 私有端点状态：确认ADF到存储账户Blob服务的托管私有端点状态为已批准，且关联的是目标存储账户的Blob服务实例。
• 存储防火墙规则：若存储账户防火墙设置为"仅允许私有端点访问"，需确保没有其他冲突规则；若允许公网访问，需确认ADF托管IR的流量是否通过私有端点路由（而非走公网被防火墙拦截）。
• DNS解析验证：检查存储账户的FQDN是否正确解析到私有端点的私有IP（可通过ADF链接服务的"测试连接"功能或查看Azure门户中私有端点的DNS配置）。

3. 核对ADF链接服务与集成运行时配置 #

• 认证方式正确性：确认目标存储账户的链接服务使用的是跨租户SP，而非ADF托管身份；填写的租户ID为租户B的ID，应用ID、密钥与SP信息完全匹配。
• 集成运行时关联：确保链接服务绑定的是启用托管虚拟网络的IR，而非默认的AutoResolveIR（默认IR走公网，会被私有端点限制拦截）。
• 测试连接：在链接服务中点击"测试连接"，若连接失败，优先解决连接问题再测试复制活动。

4. 目标路径与权限生效延迟检查 #

• 路径存在性：确认目标容器testContainer已存在，且test/market/路径已创建（或在复制活动设置中开启"自动创建文件夹"选项）。
• RBAC权限延迟：Azure RBAC权限通常需要5-15分钟生效，若刚配置完权限，等待一段时间后再重试复制活动。

内容的提问来源于stack exchange，提问作者Heether