如何为所有管道代理共用同一SAS令牌上传至Blob存储？

1. 先排查无IP限制SAS上传失败的核心原因 #

你之前的SAS无法上传，大概率是权限或资源类型不对：

• 必须勾选**写入（Write）和创建（Create）**权限，上传Blob这俩是刚需
• 确认SAS的有效期没过期，检查生成时填的截止时间是否在当前时间之后
• 要生成容器级SAS，而不是单个Blob的SAS——容器级才能支持批量上传，单个Blob的SAS只能操作指定文件

2. 生成通用SAS令牌的正确姿势 #

不想反复用密钥生成，直接一次性生成一个容器级的服务SAS就行，用Azure CLI或者存储资源管理器都能搞：

Azure CLI命令示例 #

az storage container generate-sas --account-name <你的存储账户名> --name <目标容器名> --permissions wac --expiry <过期时间，比如2024-12-31T23:59:59Z> --output tsv

参数说明：

• --permissions wac：w=写入、a=添加、c=创建，完全覆盖Blob上传的需求
• --expiry：设置你需要的有效时长，不用加--ip参数就不会限制IP
• 生成后直接复制这个SAS字符串就行

3. 管道代理配置通用SAS的注意事项 #

• 把SAS令牌放到管道的变量组里统一管理，所有代理直接调用这个变量，不用每个代理单独配置
• 上传时把SAS拼到容器URL后面，格式是：https://<存储账户名>.blob.core.windows.net/<容器名>?<SAS令牌>
• 先拿curl在代理环境测试一下，确认能上传：

curl -X PUT -T "本地测试文件路径" "https://xxx.blob.core.windows.net/mycontainer/test.txt?<你的SAS令牌>"

4. 安全兜底建议 #

虽然不用限制IP，但可以给存储账户加防火墙规则，只允许管道代理所在的VNet或IP段访问，这样既保证所有代理能用，又不会让SAS令牌被随便滥用

内容的提问来源于stack exchange，提问作者DEEPAK YADAV