.NET Core 6 Web API本地可获取Azure存储账户列表但部署到App Service后功能失效求助

我之前也碰到过几乎一模一样的问题！你用的DefaultAzureCredential在本地能正常跑通，是因为它会自动拾取你本地开发环境的凭据——比如Azure CLI的登录状态、Visual Studio里绑定的Azure账号，但部署到Azure App Service之后，这套逻辑就需要调整了，核心问题出在App Service的身份验证权限配置上，具体解决步骤如下：

第一步：给你的App Service启用托管标识 #

托管标识是Azure提供的一种让服务之间免密钥认证的机制，相当于给你的App Service分配一个“Azure身份”：

• 登录Azure Portal，找到你的目标App Service
• 进入左侧菜单的「标识」选项卡，切换到「系统分配」标签
• 把状态改成「开启」，点击保存（系统会自动为这个App Service生成一个标识）

第二步：给托管标识分配读取存储账户的权限 #

光有标识还不够，得让这个标识有权限读取订阅下的存储账户：

• 打开你的Azure订阅页面（或者存储账户所在的资源组页面也可以）
• 进入「访问控制(IAM)」选项卡，点击「添加」->「添加角色分配」
• 在角色列表里选择存储账户读取者（如果需要读取更多资源信息，选「读者」角色也可以）
• 切换到「成员」标签，选择「托管标识」，点击「选择成员」，找到你刚才给App Service创建的系统分配标识，确认添加

第三步：确认代码无需额外修改 #

DefaultAzureCredential在App Service环境下会自动识别并使用系统分配的托管标识凭据，所以你现有的代码完全不用改——这也是微软推荐这个凭据类的原因，它能自动适配不同环境的认证方式。

额外排查点 #

如果按上面步骤操作后还是不行，可以检查这几个地方：

• 查看App Service的「日志流」，有没有出现403权限拒绝的错误日志，这能帮你定位权限是否真的生效
• 确保代码里的subscriptionId是正确的，最好不要硬编码，改成通过App Service的环境变量或者配置中心读取
• 如果你用的是用户分配的托管标识（不是系统分配），需要在初始化DefaultAzureCredential时指定标识ID：

  var options = new DefaultAzureCredentialOptions
  {
      ManagedIdentityClientId = "你的用户分配标识的Client ID"
  };
  TokenCredential cred = new DefaultAzureCredential(options);
  

一般来说，做完前两步就能解决你的问题了，本质就是本地和云端的身份认证来源不同，本地依赖开发工具的凭据，云端需要用托管标识+权限分配的组合。

备注：内容来源于stack exchange，提问作者anthino12