使用User assigned Identity无法访问Storage Account的问题求助

问题描述 #

尝试通过**Create Blob(V2)**逻辑应用操作，使用用户分配托管标识访问存储账户时触发权限错误：

已完成的配置：

• 逻辑应用与存储账户处于同一资源组
• 已为目标用户分配标识添加Storage Blob Data Contributor角色
• 逻辑应用计划类型：Consumption

问题复现步骤 #

• 创建用户分配托管标识
• 创建Create Blob (V2)逻辑应用操作，填写存储账户信息，在托管标识选项中选择目标用户分配标识
• 进入存储账户，为该用户分配标识添加Storage Blob Data Contributor角色
• 运行工作流

排查与解决建议 #

1. 等待RBAC角色生效
   Azure RBAC角色分配通常需要5-15分钟才能完全生效，若刚配置完就测试，建议等待一段时间后重试。

2. 核对角色分配范围
   检查角色分配的范围是否为存储账户级别（或包含该账户的资源组/订阅级），避免误将角色分配到其他无关资源范围。

3. 验证逻辑应用的标识关联

   • 进入逻辑应用的「身份」设置页面，确认已启用并正确关联了目标用户分配标识
   • 在Create Blob(V2)操作的配置界面，再次确认托管标识选项中选中的是正确的用户分配标识，无选错情况

4. 检查存储账户网络限制
   如果存储账户配置了防火墙或虚拟网络限制：

   • 开启「允许受信任的Microsoft服务访问此存储账户」选项
   • 若使用虚拟网络，需将Consumption计划逻辑应用集成到对应虚拟网络中，确保网络连通

5. 验证标识权限有效性
   使用Azure CLI直接验证用户分配标识的权限：

   # 以用户分配标识登录
   az login --identity -u <用户分配标识的资源ID>
   # 尝试列出存储账户下的Blob
   az storage blob list --account-name <存储账户名称> --container-name <目标容器名称> --auth-mode login
   

   若命令执行失败，说明权限未正确配置；若成功，则排查逻辑应用操作的配置细节（如容器名称拼写错误等）

6. 确认容器ACL设置
   若目标容器设置了自定义ACL，需确保用户分配标识的RBAC权限不会被容器ACL覆盖，必要时调整容器ACL规则。

内容的提问来源于stack exchange，提问作者Geetika