Azure存储账户间Blob复制Java代码报401错误，求解决方法

问题背景 #

现有Azure Blob存储的Java代码，在同一存储账户内跨容器复制文件可正常运行，但跨不同存储账户（A和B）复制时，抛出BlobStorageException，错误码为CannotVerifyCopySource，状态码401，提示无法验证复制源的请求身份。

原失败代码：

// Create BlobContainerClient for source container
BlobContainerClient sourceContainerClient = new BlobServiceClientBuilder()
        .connectionString(sourceConnectionString).buildClient().getBlobContainerClient(sourceContainerName);

// Create BlobContainerClient for destination container
BlobContainerClient destinationContainerClient = new BlobServiceClientBuilder()
        .connectionString(destinationConnectionString).buildClient()
        .getBlobContainerClient(destinationContainerName);

//copy file from one container to another
BlobClient sourceBlobClient = sourceContainerClient.getBlobClient(fileName);
BlobClient destinationBlobClient = destinationContainerClient.getBlobClient(fileName);
destinationBlobClient.beginCopy(sourceBlobClient.getBlobUrl(), null);

错误原因 #

跨账户复制时，目标存储账户的服务需要访问源Blob，但直接调用getBlobUrl()获取的是无权限验证的URL，目标服务无法通过该URL验证源Blob的访问权限，因此返回401认证失败。

解决方案 #

方法一：为源Blob生成带权限的SAS URL #

生成源Blob的共享访问签名（SAS）URL，赋予读取权限，目标存储账户通过这个SAS URL就能合法访问源Blob并完成复制。

修改后的代码：

// 构建源存储账户客户端
BlobServiceClient sourceBlobServiceClient = new BlobServiceClientBuilder()
        .connectionString(sourceConnectionString)
        .buildClient();
BlobContainerClient sourceContainerClient = sourceBlobServiceClient.getBlobContainerClient(sourceContainerName);
BlobClient sourceBlobClient = sourceContainerClient.getBlobClient(fileName);

// 生成源Blob的SAS令牌，设置1小时有效期与读取权限
OffsetDateTime expiryTime = OffsetDateTime.now().plusHours(1);
BlobSasPermission sasPermission = new BlobSasPermission().setReadPermission(true);
BlobServiceSasSignatureValues sasValues = new BlobServiceSasSignatureValues(expiryTime, sasPermission);
String sasToken = sourceBlobClient.generateSas(sasValues);
String sourceBlobSasUrl = sourceBlobClient.getBlobUrl() + "?" + sasToken;

// 构建目标存储账户客户端
BlobServiceClient destinationBlobServiceClient = new BlobServiceClientBuilder()
        .connectionString(destinationConnectionString)
        .buildClient();
BlobContainerClient destinationContainerClient = destinationBlobServiceClient.getBlobContainerClient(destinationContainerName);
BlobClient destinationBlobClient = destinationContainerClient.getBlobClient(fileName);

// 使用带权限的SAS URL执行跨账户复制
destinationBlobClient.beginCopy(sourceBlobSasUrl, null);

方法二：使用托管标识（适合Azure服务环境） #

如果代码运行在Azure虚拟机、函数应用等支持托管标识的服务中，可为目标存储账户的托管标识赋予源存储账户Blob的读取权限，无需生成SAS。

步骤：

1. 在Azure门户中，为运行代码的服务（如VM、Function）启用系统分配托管标识。
2. 进入源存储账户的访问控制（IAM）页面，添加角色分配：将存储Blob数据读取者角色分配给上述托管标识。
3. 修改代码，使用托管标识认证源和目标存储账户：

// 源存储账户客户端（托管标识认证）
BlobServiceClient sourceBlobServiceClient = new BlobServiceClientBuilder()
        .endpoint("https://<source-storage-account-name>.blob.core.windows.net/")
        .credential(new DefaultAzureCredentialBuilder().build())
        .buildClient();
BlobContainerClient sourceContainerClient = sourceBlobServiceClient.getBlobContainerClient(sourceContainerName);
BlobClient sourceBlobClient = sourceContainerClient.getBlobClient(fileName);

// 目标存储账户客户端（托管标识认证）
BlobServiceClient destinationBlobServiceClient = new BlobServiceClientBuilder()
        .endpoint("https://<destination-storage-account-name>.blob.core.windows.net/")
        .credential(new DefaultAzureCredentialBuilder().build())
        .buildClient();
BlobContainerClient destinationContainerClient = destinationBlobServiceClient.getBlobContainerClient(destinationContainerName);
BlobClient destinationBlobClient = destinationContainerClient.getBlobClient(fileName);

// 执行跨账户复制，目标服务将通过托管标识权限访问源Blob
destinationBlobClient.beginCopy(sourceBlobClient.getBlobUrl(), null);

方法三：客户端下载后上传（不推荐大文件） #

如果上述方法无法使用，可先将源Blob下载到本地内存/磁盘，再上传到目标容器。但该方法效率低，会消耗额外带宽，仅适合小文件场景。

示例代码：

// 下载源Blob到字节数组
ByteArrayOutputStream outputStream = new ByteArrayOutputStream();
sourceBlobClient.download(outputStream);
byte[] blobData = outputStream.toByteArray();

// 上传到目标容器
destinationBlobClient.upload(new ByteArrayInputStream(blobData), blobData.length);

注意事项 #

• SAS URL的有效期需合理设置，避免过长导致安全风险，过短可能复制未完成就失效。
• 使用托管标识时，需确保运行代码的服务已正确配置标识，且IAM角色分配已生效（可能需要几分钟）。
• 跨账户复制的性能取决于存储账户的区域和网络环境，建议选择同区域存储账户以提升复制速度。

内容的提问来源于stack exchange，提问作者gordon613