Azure存储容器权限配置：实现Dev与QA组文件夹隔离访问

问题背景 #

我们拥有一个Azure存储账户，其中创建了多个容器。现有Dev和QA两个用户组，需实现以下权限管控：

• 容器data_zone下有Dev和QA两个文件夹
• Dev组仅能访问Dev文件夹，无法查看或进入QA文件夹
• QA组仅能访问QA文件夹，无法查看或进入Dev文件夹

已尝试的无效配置 #

1. 为Dev和QA组分配RBAC的Reader和Storage BLOB reader角色
2. 在ACL设置中，为Dev组配置QA文件夹的无访问权限（无READ、LIST、EXECUTE权限），为QA组配置Dev文件夹的无访问权限

当前问题 #

Dev组用户仍能在进入data_zone容器后查看/列出Dev和QA文件夹，且可进入QA文件夹读取其中的文本文件（仅无法编辑、上传或下载）。

可行解决方案 #

1. 移除全局RBAC角色，避免权限覆盖 #

RBAC的Storage BLOB reader是容器或存储账户级的权限，优先级高于文件夹ACL，直接导致你配置的ACL规则失效。必须先做：

• 从Dev、QA组中移除Reader和Storage BLOB reader这两个全局角色

2. 分层配置ACL权限 #

容器data_zone的ACL设置

给Dev和QA组仅配置EXECUTE权限（允许进入容器，但无法列出容器内的文件夹）：

• Dev组：容器ACL仅勾选EXECUTE，取消READ、LIST权限
• QA组：容器ACL仅勾选EXECUTE，取消READ、LIST权限

文件夹级ACL设置

• Dev文件夹：给Dev组配置READ+LIST+EXECUTE全权限，QA组无任何权限
• QA文件夹：给QA组配置READ+LIST+EXECUTE全权限，Dev组无任何权限

3. 权限逻辑验证 #

用户访问data_zone/Dev时，靠容器的EXECUTE权限进入容器，再通过Dev文件夹的完整权限正常访问；但用户无法查看容器根目录的内容（看不到QA文件夹），直接输入data_zone/QA路径会被拒绝访问。

4. 可选强化：Azure AD条件访问 #

如果需要更严格的管控，可配置条件访问规则，限制用户仅能通过指定客户端或网络访问存储资源，不过这一步属于额外加固，非必需。

内容的提问来源于stack exchange，提问作者Suhit Kulkarni