.NET Core MVC应用使用OAuth令牌访问Azure Blob存储时授权失败

1. 权限配置混淆（用户 vs 应用身份） #

你给应用对象分配了Reader和Blob Data Reader角色，但user_impersonation是用户委托权限，代表以当前登录用户的身份访问存储服务，此时权限校验基于用户的角色，而非应用本身的角色：

• 检查当前登录用户是否被分配了Azure Blob Data Reader（或更高权限）角色，作用范围需覆盖目标存储账户或对应Blob容器。
• 确认user_impersonation API权限是否已获得租户管理员同意：在Azure门户的应用注册→API权限页面，查看权限状态是否为“已授予”，未授权的话点击“授予管理员同意”。

2. 令牌范围或有效性问题 #

• 解析获取到的访问令牌（可使用jwt.ms工具），检查关键声明：
  • scp：是否包含user_impersonation，确保请求的范围正确。
  • aud：是否为https://storage.azure.com，受众错误会直接导致存储服务拒绝授权。
• 尝试将范围改为https://storage.azure.com/.default，部分v2端点场景下需要这种默认范围格式来生成有效令牌。

3. TokenAcquisitionTokenCredential的上下文缺失 #

该类依赖有效的用户上下文才能正常工作：

• 控制器方法必须添加[Authorize]属性，确保只有已登录用户能触发请求，否则TokenAcquisition无法获取用户身份令牌来交换存储服务的访问令牌。
• 检查Startup/Program.cs中是否正确配置了TokenAcquisition服务，确保依赖注入的ITokenAcquisition实例能正常获取用户令牌。

4. OnBehalfOfCredential的配置疏漏 #

使用OBO流程时需满足以下核心条件：

• 应用注册中需添加Azure Storage的user_impersonation委派权限，并完成管理员同意。
• 必须使用用户的访问令牌而非ID令牌作为OBO流程的断言，且令牌的scp声明包含所需权限。
• 确认OBO请求正确传递了租户ID、客户端ID和客户端密钥，且应用已被允许代表用户获取令牌。

5. 存储账户的网络限制 #

存储账户的防火墙或虚拟网络配置可能拦截请求：

• 进入存储账户→网络设置，检查是否允许应用所在的IP地址（或服务端点）访问。如果设置了“选定网络”，需将应用的公网IP添加到允许列表，或开启“允许受信任的微软服务访问此存储账户”选项。

6. 代码实现细节问题 #

• 尝试手动调用_tokenAcquisition.AcquireTokenForUserAsync(scopes)获取令牌，再将令牌通过Azure.Core.AccessToken直接传入BlobClient构造函数，验证令牌本身是否能正常访问存储服务，排除Credential类的封装问题。
• 确认TokenAcquisitionTokenCredential初始化时是否需要显式指定租户ID等参数，部分场景下需传入额外配置才能正确获取目标服务的令牌。

内容的提问来源于stack exchange，提问作者Olodo