向Azure Blob上传静态资源时出现403错误的原因排查

1. 核对服务连接的权限 #

• 确认Azure DevOps中使用的服务连接（对应你指定的订阅）关联的服务主体/托管标识，已被分配存储Blob数据参与者或更高权限（如存储账户参与者）。仅订阅级权限不足以操作$web容器内的Blob，需直接在存储账户或$web容器上分配对应权限。
• 若使用托管标识，需确保流水线所在代理池（如微软托管代理）的托管标识，已被授予存储账户的Blob操作权限。

2. 检查$web容器的权限设置 #

• 查看$web容器的访问策略，确认是否存在限制写入的规则。静态网站的$web容器默认允许匿名读取，但写入操作必须通过授权身份执行，需确保当前使用的身份未被容器访问策略拒绝。
• 若配置了容器级RBAC权限，需确认服务主体/托管标识在有权限的角色范围内。

3. 验证流水线步骤的参数配置 #

• 确认AzureBlob File Copy步骤中填写的存储账户名称和**容器名称（$web）**完全正确，避免因拼写错误访问不存在的资源触发权限错误。
• 若使用SAS令牌而非服务连接，需确保令牌包含**写入（w）、创建（c）、删除（d）**等必要权限，且令牌未过期。

4. 确认订阅与资源的对应关系 #

• 检查指定的订阅是否确实包含目标存储账户，避免因选错订阅导致访问不属于当前订阅的存储资源，触发权限不匹配。
• 查看存储账户是否处于锁定状态（如只读锁），锁定会阻止写入操作，直接导致403错误。

5. 手动测试权限有效性 #

• 用服务主体的凭据（客户端ID+密钥）通过Azure CLI手动上传文件到$web容器，验证权限是否有效：

  az login --service-principal -u <client-id> -p <client-secret> --tenant <tenant-id>
  az storage blob upload --account-name <storage-account> --container-name $web --file <local-file> --name <blob-name>
  

  手动操作失败则说明权限配置本身有问题；手动成功则排查流水线步骤的参数或代理环境问题。

内容的提问来源于stack exchange，提问作者Sascha Manns