使用DefaultAzureCredential生成DataLake SAS URI时遇共享密钥空值错误

误区说明 #

你遇到的问题核心是对DefaultAzureCredential和SAS生成机制的理解偏差：

• DefaultAzureCredential是基于Azure AD的身份验证方式，它不持有存储账户的访问密钥（Shared Key）；
• 你调用的GenerateSasUri方法默认依赖存储账户的Shared Key来计算SAS签名，没有密钥自然会抛出sharedKeyCredential为空的错误；
• CanGenerateAccountSasUri为false，正是因为当前DataLakeServiceClient实例没有关联Shared Key Credential。

可行解决方案：使用用户委托SAS（User Delegation SAS） #

用户委托SAS是唯一支持用Azure AD凭据生成的SAS类型，完全符合你用DefaultAzureCredential的需求，步骤如下：

1. 配置权限 #

确保DefaultAzureCredential对应的身份（如托管标识、登录用户）拥有存储账户的以下权限之一：

• Storage Blob Data Contributor（内置角色，涵盖生成用户委托SAS的权限）
• 自定义角色，包含Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action权限

2. 修改SAS生成代码 #

替换原有的GenerateSasUri方法，改为通过用户委托密钥生成SAS：

public async Task<string> GenerateUserDelegationSasUri(string containerName)
{
    if (string.IsNullOrWhiteSpace(containerName)) 
        throw new ArgumentNullException(nameof(containerName));

    // 获取用户委托密钥，有效期最长7天
    var userDelegationKey = await _dataLakeServiceClient.GetUserDelegationKeyAsync(
        DateTimeOffset.UtcNow,
        DateTimeOffset.UtcNow.AddMinutes(15));

    var permissions = DataLakeFileSystemSasPermissions.Add 
        | DataLakeFileSystemSasPermissions.Write
        | DataLakeFileSystemSasPermissions.Create
        | DataLakeFileSystemSasPermissions.List;

    // 构建SAS参数
    var sasBuilder = new DataLakeFileSystemSasBuilder
    {
        FileSystemName = containerName,
        Permissions = permissions.ToString(),
        ExpiresOn = DateTimeOffset.UtcNow.AddMinutes(15),
        Protocol = SasProtocol.HttpsOnly // 强制HTTPS，提升安全性
    };

    // 用用户委托密钥生成SAS签名
    var sasQuery = sasBuilder.ToSasQueryParameters(userDelegationKey, _dataLakeServiceClient.AccountName).ToString();

    // 拼接完整的SAS URI
    return $"{_dataLakeServiceClient.Uri.AbsoluteUri.TrimEnd('/')}/{containerName}?{sasQuery}";
}

不推荐的备选方案（使用Shared Key） #

如果一定要沿用原有的GenerateSasUri方法，需要为DataLakeServiceClient配置Shared Key Credential，但这会引入密钥管理的安全风险，不符合Azure AD身份验证的设计初衷：

// Program.cs中修改客户端注册
builder.Services.AddAzureClients(azureBuilder => 
{
    var storageAccountKey = builder.Configuration["Storage:AccountKey"];
    var credential = new StorageSharedKeyCredential("mystorageaccount", storageAccountKey);
    azureBuilder.UseCredential(credential);
    azureBuilder.AddDataLakeServiceClient(new Uri("https://mystorageaccount.dfs.core.windows.net/"));
});

内容的提问来源于stack exchange，提问作者Davy