使用托管身份连接Azure存储账户管理ACL遇签名不匹配问题求助

你遇到的签名不匹配错误并非缺少角色权限导致，你已配置的Storage Account Contributor和Storage Blob Data Owner角色完全满足存储账户连接及Blob ACL管理的权限要求。以下是具体排查方向：

1. 检查托管身份凭据的实现 #

确保你使用的托管身份凭据正确适配Azure存储服务：

• 推荐使用Azure SDK提供的DefaultAzureCredential，它会自动适配不同环境下的托管身份获取逻辑，正确代码示例：

  DataLakeServiceClientBuilder builder = new DataLakeServiceClientBuilder();
  // 使用DefaultAzureCredential自动获取托管身份
  builder.credential(new DefaultAzureCredentialBuilder().build());
  // 注意端点是DFS格式（对应ADLS Gen2）
  builder.endpoint("https://<your-storage-account-name>.dfs.core.windows.net/");
  DataLakeServiceClient client = builder.buildClient();
  

• 若你自定义了getManagedIdentity()方法，需确认获取的token受众（audience）为https://storage.azure.com/，存储服务仅接受针对该受众的访问token。

2. 验证存储账户端点格式 #

因为你使用的是DataLakeServiceClient（针对ADLS Gen2），必须使用DFS端点格式：

https://<storage-account-name>.dfs.core.windows.net/

若误用Blob存储端点（https://<account>.blob.core.windows.net），会直接导致签名验证失败。

3. 排查托管身份关联与角色范围 #

• 确认托管身份（系统分配/用户分配）已正确关联到你的应用运行资源（如App Service、VM、AKS Pod等）；
• 检查角色分配的范围：角色必须分配到存储账户级别或包含目标文件系统/容器的父范围，仅分配到子资源会导致权限验证异常。

4. 排除环境变量冲突 #

若之前使用过访问密钥/连接字符串，检查是否存在残留的AZURE_STORAGE_CONNECTION_STRING环境变量，SDK可能会优先读取该变量而非托管身份凭据。可通过以下配置强制使用托管身份：

builder.configuration(new Configuration().put(Configuration.PROPERTY_AZURE_STORAGE_SKIP_CONNECTION_STRING_VALIDATION, true));

内容的提问来源于stack exchange，提问作者OnkarG