Azure Storage Explorer与PowerShell ISE操作ADLS Gen2目录结果差异问询

核心差异：权限模型与API调用路径不同 #

Azure存在两类独立的权限控制体系：

• RBAC资源管理器权限：Contributor、Reader这类角色属于该体系，负责管理存储账户、容器等资源本身的生命周期（比如创建存储账户、删除容器）。
• 存储数据平面权限：Storage Blob Data Contributor这类角色属于该体系，专门管控存储内数据的读写操作（比如创建目录、上传Blob）。

为什么Storage Explorer能成功？ #

Storage Explorer会自动适配权限情况：当你只有RBAC的Contributor角色时，它会调用ARM资源管理器API来创建ADLS Gen2目录（ADLS Gen2的目录在ARM层面有对应的资源标识），因此可以通过Contributor权限完成操作。

为什么PowerShell脚本报403？ #

你使用的PowerShell cmdlet（比如New-AzDataLakeGen2Item）默认调用的是存储数据平面API，这类API只校验数据平面角色权限，完全不识别RBAC的Contributor角色。所以即使通过SSO登录，没有数据平面权限就会触发403错误。

解决办法 #

• 最规范的方案：给你的账号添加Storage Blob Data Contributor角色（作用范围可以是目标存储账户或容器），之后再运行脚本即可正常执行数据操作。
• 临时替代方案（不推荐用于生产）：如果一定要用RBAC权限操作，可以尝试调用ARM API创建目录，比如使用New-AzResource cmdlet指定ADLS Gen2目录的资源类型，但这种方式不符合数据操作的权限设计规范，后期维护风险高。

内容的提问来源于stack exchange，提问作者Swati Vishwanathan