使用Bicep为Blob容器创建ADLS链接服务时连接测试失败求助

核心问题分析 #

你的问题并非数据工厂的SystemAssigned托管身份本身导致，而是认证方式不匹配+权限配置不到位的组合问题：

• 你尝试给数据工厂的Managed ID分配权限，但链接服务却用了服务主体（Service Principal）认证，两者完全不对应；
• 即使开启了公共访问设置，当使用服务主体/Managed ID认证时，Azure仍会优先通过RBAC权限控制访问，公共访问规则不生效。

具体修复步骤 #

1. 统一认证方式：改用数据工厂SystemAssigned ID #

修正ADLS链接服务的Bicep配置，移除服务主体相关参数，改用Managed ID认证：

resource adlsLinkedService 'Microsoft.DataFactory/factories/linkedservices@2018-06-01' = {
  parent: dataFactory
  name: 'AdlsLinkedService'
  properties: {
    // 推荐用AzureDataLakeStorageGen2更贴合ADLS Gen2特性，也可保留AzureBlobStorage
    type: 'AzureDataLakeStorageGen2'
    typeProperties: {
      accountName: storageAccountName
      authenticationType: 'ManagedServiceIdentity'
    }
  }
}

如果仍想用AzureBlobStorage类型，配置如下：

type: 'AzureBlobStorage'
typeProperties: {
  serviceEndpoint: 'https://${storageAccountName}.blob.core.windows.net'
  authenticationType: 'ManagedServiceIdentity'
}

2. 确保数据工厂Managed ID拥有正确权限 #

用CLI给数据工厂的SystemAssigned ID分配Storage Blob Data Contributor角色（必须是数据权限角色，而非管理角色）：

1. 获取数据工厂的托管ID主体ID：

az datafactory show --resource-group <你的资源组名> --name <你的数据工厂名> --query identity.principalId --output tsv

2. 给该ID分配权限到存储账户（或指定容器，范围越小越安全）：

az role assignment create --assignee <上面获取的principalId> --role "Storage Blob Data Contributor" --scope "/subscriptions/<你的订阅ID>/resourceGroups<你的资源组名>/providers/Microsoft.Storage/storageAccounts/<你的存储账户名>"

注意：角色分配需要1-5分钟生效，不要立刻测试连接。

3. 排查其他潜在问题 #

• 存储账户防火墙限制：如果存储账户开启了防火墙，需允许数据工厂的IP访问，或开启"允许受信任的Azure服务访问此存储账户"选项；
• 服务主体过期（如果坚持用服务主体）：若你仍想使用服务主体认证，需确认servicePrincipalKey未过期，且服务主体已分配Storage Blob Data Contributor角色；
• 端点拼写错误：检查serviceEndpoint中的存储账户名称是否拼写正确，确保后缀为.blob.core.windows.net。

内容的提问来源于stack exchange，提问作者Mir Ali