使用Azure AD/SAS令牌时AzCopy跨存储账户复制失败求助

Azure AD认证复制失败原因及修复 #

核心问题：角色权限不匹配 #

你分配的Owner是Azure管理角色，仅授予资源管理权限（如创建存储账户），不具备Blob数据的读取、列表、写入等操作权限。Azure存储的Blob数据访问需要专用的数据角色。

修复步骤 #

1. 替换角色：在源和目标存储账户/容器级别，将Owner角色替换为Storage Blob Data Contributor或Storage Blob Data Owner角色。
2. 验证权限生效：等待5-10分钟让RBAC权限生效，重新执行azcopy login登录，再运行复制命令：

   .\azcopy.exe copy 'https://source.blob.core.windows.net/myblob' 'https://destination.blob.core.windows.net/myblob' --recursive
   

3. 网络验证：确保运行AzCopy的客户端处于能访问源存储专用终结点的网络环境中（如VNet内、VPN连接）。

SAS令牌跨账户复制失败原因及修复 #

核心问题：命令格式错误+网络限制 #

1. 命令路径错误：你当前的命令指向存储账户根路径，未指定具体容器，服务器端复制无法识别要同步的资源。
2. 网络限制：源存储使用专用终结点且禁用公网访问时，Azure存储服务之间的服务器端复制（跨账户直接复制）无法通过公网访问源的专用终结点，导致失败。而本地中转是客户端从源拉取（通过专用终结点）再上传，不受此限制。

修复步骤 #

若源存储允许公网临时访问（仅临时用于复制）

1. 生成正确权限的SAS令牌：
   • 源SAS：需包含Read、List权限，有效期覆盖复制时长。
   • 目标SAS：需包含Write、Add、Create、List权限。
2. 修正复制命令：指定具体容器路径：

   .\azcopy.exe copy 'https://source.blob.core.windows.net/myblob?SOURCE-SAS-TOKEN' 'https://destination.blob.core.windows.net/myblob?DEST-SAS-TOKEN' --recursive
   

若源存储保持专用终结点限制（不允许公网访问）

继续使用你已验证有效的本地中转方式，可通过脚本自动化批量处理多个容器。

替代迁移方法 #

方法1：Azure Data Factory（ADF） #

适用于大规模、自动化的迁移场景，支持通过专用终结点访问源存储：

• 创建ADF实例，确保其处于能访问源存储专用终结点的网络环境（如同一VNet、VNet对等连接）。
• 配置源数据集：选择Azure Blob存储，使用专用终结点连接，指定源容器。
• 配置目标数据集：选择Azure Blob存储，指定目标容器。
• 创建复制活动，设置递归复制，运行管道完成迁移。

方法2：PowerShell脚本自动化中转 #

使用Az.Storage模块实现批量复制（需在能访问专用终结点的环境运行）：

# 初始化存储上下文
$sourceSas = "SOURCE-SAS-TOKEN"
$destSas = "DEST-SAS-TOKEN"
$sourceCtx = New-AzStorageContext -StorageAccountName "source" -SasToken $sourceSas
$destCtx = New-AzStorageContext -StorageAccountName "destination" -SasToken $destSas

# 复制指定容器内所有Blob
$containerName = "myblob"
Get-AzStorageBlob -Container $containerName -Context $sourceCtx | ForEach-Object {
    Copy-AzStorageBlob -SrcContainer $containerName -SrcBlob $_.Name `
        -DestContainer $containerName -DestContext $destCtx -SrcContext $sourceCtx
}

内容的提问来源于stack exchange，提问作者learner