Azure存储账户角色分配异常：Blob Owner角色仍提示访问被拒

针对MemberUser1无法通过Azure AD权限访问存储账户的问题，结合已完成的排查，补充以下针对性解决步骤：

1. 核对存储账户的Azure AD租户归属 #

存储账户若关联了非用户所在的Azure AD租户，即便权限配置正确也会触发访问拒绝。

• 操作：
  • 登录Azure门户打开目标存储账户
  • 进入「设置 > 配置」，查看「Azure Active Directory租户」是否与MemberUser1的租户ID一致
  • 若不一致，修改为用户所属租户，保存后重试访问

2. 确认用户的有效权限范围 #

角色分配的作用域错误会导致权限无法生效：

• 操作：
  • 进入存储账户的「访问控制(IAM) > 检查访问权限」
  • 输入MemberUser1的用户名，选择「Azure AD用户、组或服务主体」
  • 查看返回的有效权限，确认Storage Blob Data Contributor/Owner角色的作用域是否覆盖该存储账户（比如是否误分配到了其他资源组）

3. 检查存储账户的身份验证强制设置 #

若存储账户开启了仅允许Azure AD身份验证，需确认配置无冲突：

• 操作：
  • 进入存储账户的「安全性 + 网络 > 配置」
  • 查看「允许的身份验证方法」，若设为「仅Azure AD」，确认用户身份未被额外限制
  • 同时检查Blob容器的ACL设置，确保容器未单独配置拒绝访问规则

4. 排查租户级条件访问策略 #

租户的条件访问策略可能限制了用户对存储账户的访问：

• 操作：
  • 登录Azure AD门户，进入「安全 > 条件访问」
  • 查看是否有针对存储服务或该存储账户的策略（如要求合规设备、特定IP范围等）
  • 可临时禁用可疑策略测试，确认问题后再调整规则

5. 重置用户的访问令牌 #

用户缓存的访问令牌可能失效或异常，需重新获取：

• 操作：
  • 在Storage Explorer中注销MemberUser1，重新登录
  • 用隐身窗口打开Azure门户，重新登录用户尝试访问
  • 使用PowerShell的话，执行Connect-AzAccount重新登录后，用Get-AzStorageAccount测试访问

6. 验证资源链接的正确性 #

手动拼接的资源链接可能存在参数错误：

• 直接从存储账户的「概述」页面复制官方生成的资源链接，替换原链接后尝试访问

内容的提问来源于stack exchange，提问作者Eduardo Scheffer