无法通过托管标识生成容器SAS令牌，求角色排查及可行性确认

核心结论 #

1. 托管身份无法通过BlobContainerClient.GenerateSasUri直接生成SAS令牌：该方法依赖存储账户密钥/共享访问签名密钥完成签名，而托管身份基于OAuth 2.0认证体系，不持有这类密钥，因此CanGenerateSasUri属性会始终为false，和你当前分配的RBAC角色无关。
2. 托管身份可以生成用户委派SAS（User Delegation SAS）——这是专门为OAuth身份设计的SAS类型，需通过用户委派密钥进行签名生成。

现有角色的权限说明 #

你当前分配的角色中：

• Storage Blob Data Owner和Storage Account Contributor包含生成用户委派密钥所需的Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action权限
• Storage Blob Data Contributor默认不包含该权限，若仅依赖此角色会导致用户委派密钥生成失败

正确实现代码 #

替换原代码为以下逻辑，生成用户委派SAS：

// _blobServiceClient 已通过托管身份凭据初始化
BlobContainerClient blobContainerClient = _blobServiceClient.GetBlobContainerClient(blobContainerName);
await blobContainerClient.CreateIfNotExistsAsync(PublicAccessType.None).ConfigureAwait(false);

// 获取用户委派密钥（有效期最长7天）
UserDelegationKey userDelegationKey = await _blobServiceClient.GetUserDelegationKeyAsync(
    DateTimeOffset.UtcNow,
    DateTimeOffset.UtcNow.AddDays(7) // 注意：用户委派密钥有效期不能超过7天
).ConfigureAwait(false);

// 构建SAS规则
BlobSasBuilder sasBuilder = new BlobSasBuilder()
{
    BlobContainerName = blobContainerName,
    ExpiresOn = DateTime.UtcNow.AddDays(30), // SAS有效期可长于密钥，但不能超过密钥到期时间
    Protocol = SasProtocol.HttpsOnly
};

sasBuilder.SetPermissions(BlobContainerSasPermissions.Read 
    | BlobContainerSasPermissions.List 
    | BlobContainerSasPermissions.Write
    | BlobContainerSasPermissions.Filter);

// 使用用户委派密钥生成SAS Uri
Uri sasUri = blobContainerClient.GenerateSasUri(sasBuilder, userDelegationKey);

return sasUri;

注意事项 #

• 用户委派密钥的有效期最长为7天，因此SAS的到期时间不能超过密钥的到期时间
• 确保托管身份已被授予包含generateUserDelegationKey权限的角色（如Storage Blob Data Owner或Storage Account Contributor）

内容的提问来源于stack exchange，提问作者Kira