Azure Storage REST API令牌实际15分钟过期，与设置不符问题咨询

1. 验证令牌实际过期时间 #

先确认Get-AzAccessToken返回的过期时间与令牌本身的exp字段是否一致，排查时间计算偏差问题：

$oAzStorageToken = Get-AzAccessToken -ResourceTypeName Storage
# 输出命令返回的过期时间（UTC）
Write-Host "Token Expires On (Command Return): $($oAzStorageToken.ExpiresOn.UtcDateTime)"
# 解析令牌payload获取实际exp时间
$tokenSegment = $oAzStorageToken.Token.Split('.')[1]
$paddedSegment = $tokenSegment.PadRight($tokenSegment.Length + (4 - $tokenSegment.Length % 4) % 4, '=')
$tokenPayload = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($paddedSegment)) | ConvertFrom-Json
Write-Host "Token Expires On (JWT Payload): $(Get-Date -UnixTimeSeconds $tokenPayload.exp -Utc)"

如果两者不一致，说明需基于JWT payload里的exp计算刷新时间，而非依赖命令返回的ExpiresOn。

2. 替换为Azure存储官方SDK #

放弃手动调用REST API，使用Azure.Storage.Tables模块自动处理令牌生命周期，彻底规避手动刷新的问题：

# 首次运行安装模块
Install-Module -Name Azure.Storage.Tables -Force -Scope CurrentUser

# 用托管身份初始化Table客户端
$tableClient = New-AzTableClient -StorageAccountName "<你的存储账户名>" -TableName "<你的表名>" -EnableAuthenticationUsingAzureAD

# 更新实体示例
$targetEntity = [Azure.Data.Tables.TableEntity]::new("目标分区键", "目标行键")
$targetEntity["操作状态"] = "已完成"
$tableClient.UpdateEntity($targetEntity, [Azure.Data.Tables.TableUpdateMode]::Replace)

SDK会自动完成令牌的获取、刷新，无需手动管理计时器或过期逻辑。

3. 优化令牌刷新逻辑（保留REST API场景） #

若必须使用REST API，将触发逻辑从计时器驱动改为API调用前置检查，避免计时器失效导致的令牌过期：

# 检查当前令牌是否有效（剩余时间>5分钟则有效）
function global:Is-TokenValid {
    param()
    if (-not $script:htAzTableHeaders.Authorization) { return $false }
    
    $token = $script:htAzTableHeaders.Authorization.Split(' ')[1]
    $tokenSegment = $token.Split('.')[1]
    $paddedSegment = $tokenSegment.PadRight($tokenSegment.Length + (4 - $tokenSegment.Length % 4) % 4, '=')
    $tokenPayload = [System.Text.Encoding]::UTF8.GetString([System.Convert]::FromBase64String($paddedSegment)) | ConvertFrom-Json
    
    $expiryTime = (Get-Date -UnixTimeSeconds $tokenPayload.exp -Utc)
    return (New-TimeSpan -Start (Get-Date -Utc) -End $expiryTime).TotalMinutes -gt 5
}

# 封装API调用，前置令牌检查
function global:Invoke-TableRestApi {
    param($ApiUri, $HttpMethod)
    if (-not (Is-TokenValid)) {
        Update-AzToken
    }
    Invoke-RestMethod -Uri $ApiUri -Method $HttpMethod -Headers $script:htAzTableHeaders
}

每次调用REST API前先验证令牌有效性，确保请求使用的是未过期的令牌。

4. 检查Azure AD令牌生命周期策略 #

联系Azure AD管理员确认是否为该托管身份设置了自定义令牌生命周期策略。若策略强制令牌15分钟过期，需调整刷新触发比例为过期时间的80%，预留足够缓冲时间避免令牌提前失效。

内容的提问来源于stack exchange，提问作者fred31330