Azure Event Grid主题订阅存储队列权限缺失问题咨询

核心问题定位 #

从错误提示来看，系统正尝试调用Microsoft.Storage/storageAccounts/listKeys/action获取存储账户密钥，说明你在创建Event Grid订阅时，未正确配置目标存储队列的身份验证方式为托管身份，默认使用了连接字符串模式；同时，即使用托管身份，也需要确保权限配置覆盖必要范围。

需要补充的权限及配置 #

1. 修正订阅的身份验证配置 #

创建Event Grid订阅时，在目标存储队列的设置中：

• 选择身份验证类型为“托管身份”
• 指定你创建的用户分配托管身份
• 避免使用默认的“连接字符串”模式，防止触发密钥读取权限要求

2. 托管身份权限确认（已配置但需检查范围） #

你已分配的Storage Queue Data Contributor角色是正确的，但需确认角色分配的范围是存储账户或目标队列（而非仅资源组，资源组范围虽生效，但建议直接绑定到存储账户以缩小权限范围）。该角色已包含写入队列的所有必要数据权限：

• Microsoft.Storage/storageAccounts/queues/messages/add/action
• Microsoft.Storage/storageAccounts/queues/read/action
• Microsoft.Storage/storageAccounts/queues/write/action

3. 创建订阅的用户所需权限 #

如果你是手动创建订阅的用户，需要额外两个权限：

• 对Event Grid主题的Event Grid EventSubscription Contributor角色（授予创建/修改订阅的权限）
• 对用户分配托管身份的Managed Identity Operator角色（允许将托管身份关联到Event Grid订阅）

4. 额外验证：权限生效延迟 #

RBAC权限分配后可能需要5-10分钟生效，若刚配置完就操作，可等待一段时间后重试。

参考流程（翻译自微软文档） #

你提到的文档流程翻译如下：

将自定义事件发送到队列存储 #

1. 登录Azure门户，导航到你的Event Grid主题
2. 在左侧菜单选择“事件订阅”，点击“创建”
3. 在“基本信息”标签页填写订阅名称，选择“端点类型”为“存储队列”
4. 在“端点详情”中选择目标存储账户和队列
5. 切换到“身份验证”标签页，选择“用户分配托管身份”，并指定你创建的身份
6. 完成其他配置后点击“创建”

内容的提问来源于stack exchange，提问作者dot