Azure Data Explorer外部表读取ADLS Gen2数据遇AuthorizationPermissionMismatch错误求助

问题场景 #

在Azure Data Explorer中创建指向ADLS Gen2的外部表：

.create-or-alter external table ourtable (
        SourceKey:decimal,
        SupporterId:long
        )
kind=storage
dataformat=parquet ('abfss://xxxxx@xxxxxxxxxx.dfs.core.windows.net/Path/filename.parquet;managed_identity=system')
with (
    folder='storageaccount/container',
    docString=```Information    ```
)

执行查询语句时：

external_table("ourtable")
| take 10

返回403错误，错误代码为AuthorizationPermissionMismatch，具体错误信息如下：

Query execution has resulted in error (0x80131500): Partial query failure: 0x80131500 (message: 'Service request failed.
Status: 403 (This request is not authorized to perform this operation using this permission.)
ErrorCode: AuthorizationPermissionMismatch

Headers:
Transfer-Encoding: chunked
Server: Windows-Azure-Blob/1.0 Microsoft-HTTPAPI/2.0
x-ms-request-id: 9cca9d71-d01e-007b-163c-1a425a000000
x-ms-client-request-id: 17cad00d-6fa6-4f75-a609-2ad772510971
x-ms-version: 2022-11-02
x-ms-error-code: AuthorizationPermissionMismatch
Date: Wed, 09 Oct 2024 11:15:55 GMT
: ', details: 'Source: Azure.Storage.Blobs
Service request failed.
Status: 403 (This request is not authorized to perform this operation using this permission.)
ErrorCode: AuthorizationPermissionMismatch

可能的原因 #

• Kusto系统托管身份权限不足：外部表使用managed_identity=system，即Kusto集群的系统分配托管身份未被授予ADLS Gen2容器或目标文件路径的读取权限。需确认该身份是否拥有Storage Blob Data Reader或更高权限（如Storage Blob Data Contributor），且权限范围覆盖指定路径。
• 权限未生效或范围不匹配：权限配置后可能存在延迟未生效；或权限仅授予容器，但目标文件所在子文件夹通过ACL设置了更严格的访问限制，导致系统身份无法访问具体文件。
• 资源路径错误：外部表定义中的abfss://路径存在拼写错误（如容器名、文件夹路径或文件名错误），导致访问的资源不存在或权限配置不匹配。
• 托管身份配置异常：Kusto集群的系统托管身份未正确启用，或在Azure AD中未被正确识别，导致无法完成身份验证获取访问权限。
• 存储账户网络限制：ADLS Gen2存储账户启用了防火墙规则，仅允许特定IP/虚拟网络访问，而Kusto集群的出站IP不在允许列表中，请求被拦截后返回权限不匹配的错误码。

内容的提问来源于stack exchange，提问作者Patterson