配置Azure OpenAI数据连接时选择系统分配托管标识报错

我们参照《Azure OpenAI On Your Data》文档配置Blob存储数据，已启用RBAC并为资源及手动配置数据的开发者分配了文档指定的权限，但验证标识时仍报错（截图显示权限验证失败相关内容）。我们通过VNet集成和专用终结点将所有服务设为私有以连接OpenAI，已创建搜索服务，且在存储账户例外中启用了允许受信任服务列表中的Azure服务访问此存储账户选项。

以下是针对性排查步骤：

• 检查专用终结点一致性：确认Blob存储、OpenAI、搜索服务的专用终结点均部署在同一VNet内，同时子网的网络安全组（NSG）规则需允许三者间的443端口流量通行
• 验证RBAC权限实际生效：执行az role assignment list --assignee <开发者ID> --scope <存储账户资源ID>命令，核对分配的角色（如存储Blob数据读取者、认知服务OpenAI用户等）是否正确，且作用域覆盖目标容器或整个存储账户
• 排查存储账户防火墙规则：即使启用了受信任服务例外，仍需确认搜索服务属于Azure受信任服务列表，同时检查是否存在优先级更高的IP限制规则覆盖了例外设置
• 确认标识访问上下文：若使用用户标识而非系统托管标识，需确保开发者账户通过私有网络环境（如VPN、Azure Bastion）访问，避免外部网络的身份验证上下文干扰
• 检查搜索服务权限：确认搜索服务已被授予Blob存储的存储Blob数据读取者角色，这是搜索服务读取Blob数据建立索引的必要权限，易被遗漏

内容的提问来源于stack exchange，提问作者Aiswarya