私有Azure Blob存储容器下Azure Functions访问方式及部署疑问

一、不止两种方式，但优先推荐两种安全方案 #

你提到的托管标识和SAS令牌是Azure官方主推的安全访问方式，但还有存储账户访问密钥这种选项——不过密钥权限覆盖整个存储账户，泄露风险极大，生产环境绝对不建议使用。

二、本地运行 vs 部署后的访问区别 #

• 本地开发时：
  你遇到的只能用SAS URI是常见情况，但其实也可以通过Azure CLI登录模拟托管标识：先运行az login登录你的Azure账号，给当前登录用户分配Blob存储的对应角色（比如Storage Blob Data Contributor），之后函数就能通过Azure SDK自动获取凭证访问，不用SAS。当然，SAS仍是本地测试最省事的方式。
• 部署到Azure后：
  优先用托管标识，这是最安全且省心的方案，不用管密钥或SAS的过期、泄露问题。

三、你的Blob触发函数场景（评估+移动Blob）配置建议 #

如果用托管标识，步骤很清晰：

1. 打开函数应用的「身份」页面，开启系统分配托管标识并保存；
2. 到Blob存储账户的「IAM」页面，添加角色分配，把Storage Blob Data Contributor角色分配给你的函数应用（搜索函数应用名称即可找到对应的托管标识）；
3. 函数的Blob触发器配置里，直接写容器名称（比如绑定配置写path: your-container-name/{name}），不需要带SAS；
4. 代码里用Azure SDK时，直接用默认凭证构造客户端，比如C#代码：

var blobServiceClient = new BlobServiceClient(
    new Uri($"https://{Environment.GetEnvironmentVariable("StorageAccountName")}.blob.core.windows.net"),
    new DefaultAzureCredential()
);

这样就能安全完成Blob的读取、移动操作。

如果选SAS的话，部署后把SAS令牌存在函数应用的「应用设置」里（比如设个BlobSasToken的键），代码里读取这个环境变量构造客户端，避免硬编码，但要记得定期更新SAS的过期时间。

内容的提问来源于stack exchange，提问作者bitshift