Azure Data Lake ACL授权后无法查看已删除Blob的最小权限配置咨询

要解决这个问题，你需要创建最小权限的自定义RBAC角色，仅授予查看软删除Blob所需的权限，并将角色分配范围严格限定到用户对应的目录（dirA给X，dirB给Y）。这样既满足查看已删除文件的需求，又不会打破原有的权限隔离规则。

具体步骤 #

1. 明确所需权限 #

Reader角色不包含查看软删除Blob的权限，你需要补充以下两个核心权限：

• Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read：允许读取Blob的元数据（包括软删除状态）
• Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list：允许列出容器内的Blob（包括已软删除的条目）

2. 创建自定义RBAC角色 #

在Azure门户中操作：

• 进入目标存储账户 → 访问控制(IAM) → 角色 → 添加 → 添加自定义角色
• 填写角色名称（比如DirA Soft Delete Viewer）和描述，说明该角色仅用于查看dirA下的软删除Blob
• 在权限页，搜索并添加上述两个权限，移除其他不必要的默认权限
• 完成角色创建，重复此步骤创建针对dirB的自定义角色（比如DirB Soft Delete Viewer）

3. 将自定义角色分配到指定目录 #

• 进入存储账户 → 目标容器 → 打开dirA目录 → 访问控制(IAM) → 添加 → 添加角色分配
• 选择刚创建的DirA Soft Delete Viewer角色，指定用户X为被分配者，完成分配
• 对dirB和用户Y执行相同操作，分配对应的DirB Soft Delete Viewer角色

4. 验证权限效果 #

用Azure Storage Explorer测试：

• 用户X可正常操作dirA的文件，且能在「活动和软删除Blob」中查看dirA下的已删除文件
• 用户X无法访问dirB的任何内容（包括已删除文件）
• 用户Y同理，仅能访问dirB并查看自身目录下的已删除文件

注意事项 #

• 保留原有的Reader角色（存储账户级别），确保用户能访问存储账户的基础元数据
• 自定义角色的分配范围必须严格限定在单个目录，避免权限扩散
• 若需要恢复已删除文件，可在自定义角色中额外添加Microsoft.Storage/storageAccounts/blobServices/containers/blobs/restore/action权限

内容的提问来源于stack exchange，提问作者Redzon