使用托管身份上传Blob时出现Authorization错误的排查求助

尝试通过Azure函数应用的托管身份上传Blob，代码如下：

public class BlobUtil
{
    static public async Task UploadBlob(string accountName, string containerName, string blobName, string blobContents)
    {
        // Construct the blob container endpoint from the arguments.
        string containerEndpoint = string.Format("https://{0}.blob.core.windows.net/{1}",
                                                    accountName,
                                                    containerName);

        // Get a credential and create a client object for the blob container.
        BlobContainerClient containerClient = new BlobContainerClient(new Uri(containerEndpoint),
                                                                        new DefaultAzureCredential());

        try
        {
            // Create the container if it does not exist.
            await containerClient.CreateIfNotExistsAsync();

            // Upload text to a new block blob.
            byte[] byteArray = Encoding.ASCII.GetBytes(blobContents);

            using (MemoryStream stream = new MemoryStream(byteArray))
            {
                await containerClient.UploadBlobAsync(blobName, stream);
            }
        }
        catch (Exception e)
        {
            throw e;
        }
    }
}

await BlobUtil.UploadBlob("stintxxxxatadev", "xxx", Guid.NewGuid().ToString()+".json", "yo bro");

执行时出现两个错误：

The I/O operation has been aborted because of either a thread exit or an application request

Status: 403 (This request is not authorized to perform this operation.)

已给函数授予存储账户对应权限，询问是否遗漏其他访问设置，或有哪些排查思路？

• 验证权限范围与类型：确认授予的权限是存储Blob数据参与者（而非存储账户参与者等宽泛权限），且权限作用范围是目标存储账户或特定容器。若仅配置了容器级权限，需核对容器名称与代码中是否完全一致。
• 确认托管身份状态：检查Azure函数的系统托管身份是否已启用；若使用用户分配托管身份，需确保代码中指定了对应的客户端ID（当前代码用DefaultAzureCredential会自动尝试，但用户分配身份需额外配置参数）。
• 检查存储账户网络限制：若存储账户设置了防火墙或虚拟网络规则，需确认Azure函数所在环境能正常访问：消费计划需开启“允许受信任的Microsoft服务访问”选项；专用网络环境需配置VNet对等连接或服务端点。
• 验证Token获取逻辑：在代码中添加日志，输出DefaultAzureCredential获取的Token信息，确认Token包含的权限范围是否为https://storage.azure.com/.default，且身份主体正确。
• 检查容器权限继承：若目标容器已存在，确认托管身份的权限是否覆盖该容器——部分场景下容器的权限可能未正确继承自存储账户级别的设置。
• 修复异步线程问题：I/O operation aborted错误大概率和异步调用未正确等待有关，检查函数入口方法是否为异步类型，确保所有异步操作都通过await等待完成，避免线程提前退出。
• 排查SDK版本问题：确认使用的Azure.Storage.Blobs SDK版本与Azure函数运行时兼容，过旧版本可能存在身份验证逻辑缺陷。

内容的提问来源于stack exchange，提问作者Thomas Segato