Azure Batch作业报错ResourceContainerAccessDenied，请求排查帮助

排查ResourceContainerAccessDenied错误的遗漏配置方向 #

• Batch节点托管身份的权限配置
  你通过服务主体创建Batch资源，但作业运行在Batch节点上，节点自身需要具备访问存储账户的身份权限。需确认：

  • 是否给Batch池启用了系统分配/用户分配的托管身份
  • 已将该托管身份在存储账户的IAM中添加存储Blob数据参与者（或匹配需求的读写权限角色）
    注意：权限需分配给节点的托管身份，而非Batch账户本身。

• 存储账户网络访问规则校验
  若存储账户设置为“允许选定的网络”：

  • 需将Batch池所在的VNet子网添加到存储账户的“允许的虚拟网络”列表
  • 检查是否开启“允许受信任的Microsoft服务访问此存储账户”（托管身份访问存储时需确保此规则未拦截）

• 作业任务的存储访问方式验证
  确认任务中访问存储的逻辑是否正确使用节点托管身份获取访问令牌，而非依赖创建Batch客户端的服务主体凭据。例如使用Azure存储SDK时，应通过DefaultAzureCredential自动获取节点身份的令牌，而非硬编码服务主体密钥。

• Batch池的身份配置检查
  创建Batch池时，必须明确指定托管身份（系统分配或用户分配），否则节点默认无身份标识，无法通过AAD授权访问存储。

• 存储容器与路径校验
  检查存储容器的访问级别为“专用”时，需确保任务中使用的容器名称、文件路径无拼写错误（路径错误有时会返回权限拒绝的误导性提示）。

• 子网NSG出站规则检查
  确认Batch节点所在子网的NSG出站规则允许HTTPS（443端口）流量访问Azure存储服务，避免因网络拦截导致权限错误。

内容的提问来源于stack exchange，提问作者stackmack