Azure应用用户专属文件存储：自动创建RBAC保护的用户文件夹

针对你的需求，直接用RBAC无法实现文件夹级的精细权限控制（RBAC最小粒度是容器），推荐结合应用层逻辑+存储ACL/ADLS Gen2 RBAC的方案，以下是具体实现步骤：

一、基础配置准备 #

1. 启用存储账户的Entra ID身份验证

   • 进入Azure存储账户的「安全性 + 网络」→「Azure AD 身份验证」，开启Blob服务的Azure AD身份验证，确保用户可通过Entra ID令牌访问存储资源。
   • 创建根容器（例如命名为user-files），将容器默认访问级别设为私有，禁止匿名访问。

2. 为应用服务主体分配权限

   • 给你的应用所使用的Entra ID服务主体分配「存储Blob数据所有者」角色（或自定义角色，需包含容器/文件夹的权限管理、Blob读写权限），确保应用能自动创建用户文件夹并配置权限。

二、方案1：普通Blob Storage（无分层命名空间）—— 使用ACL实现权限隔离 #

普通Blob的文件夹是虚拟目录，需通过容器ACL为用户分配特定路径的权限：

1. 用户专属文件夹自动创建逻辑 #

用户首次上传文件时，应用执行以下操作：

• 获取当前用户的Entra ID对象ID（推荐用对象ID而非UPN，避免用户改名影响路径）。
• 构造用户专属路径：users/<用户对象ID>/（例如users/123e4567-e89b-12d3-a456-426614174000/）。
• 无需显式创建文件夹，上传文件时会自动生成虚拟目录；若需提前初始化，可上传一个空的占位Blob（如.placeholder）。

2. 为用户分配文件夹ACL权限 #

通过存储SDK给用户的对象ID分配仅对其专属文件夹的读写权限，示例C#代码：

var blobServiceClient = new BlobServiceClient("<你的存储连接字符串>");
var containerClient = blobServiceClient.GetBlobContainerClient("user-files");
var userDirectoryClient = containerClient.GetBlobDirectoryClient($"users/{currentUserObjectId}/");

// 配置ACL：允许用户读写该目录下的所有资源
var accessPolicies = new List<BlobAccessPolicy>
{
    new BlobAccessPolicy
    {
        EntityId = currentUserObjectId,
        Permissions = "rw", // r=读，w=写，d=删除，按需调整
        StartOffset = DateTimeOffset.UtcNow,
        ExpiresOn = DateTimeOffset.UtcNow.AddYears(10) // 按需设置权限有效期
    }
};

await userDirectoryClient.SetAccessPolicyAsync(accessPolicies);

3. 应用层访问控制校验 #

在上传/下载接口中，强制校验用户操作的Blob路径必须属于其专属文件夹，禁止跨目录访问（双重保障，避免ACL配置疏漏）。

三、方案2：ADLS Gen2（启用分层命名空间）—— 使用RBAC实现权限隔离 #

若你的存储账户启用了分层命名空间（ADLS Gen2），可直接用RBAC给用户分配文件夹级权限，更贴合你的初始设想：

1. 创建用户专属真实目录 #

用户首次操作时，应用通过SDK创建真实的用户目录：

var filesystemClient = new DataLakeFileSystemClient("<存储连接字符串>", "user-files");
await filesystemClient.CreateDirectoryAsync($"users/{currentUserObjectId}/");

2. 为用户分配文件夹级RBAC权限 #

通过Azure CLI或Portal给用户分配仅对该目录的权限，示例CLI命令：

az role assignment create \
  --assignee <用户对象ID> \
  --role "Storage Blob Data Contributor" \
  --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.Storage/storageAccounts/<存储账户名称>/blobServices/default/containers/user-files/folders/users/<用户对象ID>"

• 该命令会将「存储Blob数据参与者」角色限定在用户的专属文件夹，用户仅能访问该路径下的资源。

3. 应用层路径校验 #

同样在接口中校验用户操作的路径必须属于其专属目录，防止越权。

关键注意事项 #

• 优先使用用户Entra ID对象ID作为文件夹名称，避免UPN变更导致路径失效。
• 应用层的路径校验是核心安全保障，不能仅依赖存储端的权限控制。
• 若使用SAS令牌（而非用户直接用Entra ID令牌访问），需确保SAS令牌的权限、路径范围、有效期严格限定在用户专属文件夹。

内容的提问来源于stack exchange，提问作者youssef zmarou