使用托管标识访问Azure存储账户：可创建容器但上传Blob报401错误

可能的原因及解决步骤 #

1. 验证SDK获取的Token权限与受众 #

AzureCliCredential获取的Token可能和CLI直接调用时使用的Token存在差异，尤其是受众（Audience）或租户匹配问题。可以添加代码验证Token的有效性：

var credential = new AzureCliCredential();
// 指定存储服务的权限范围
var tokenRequest = new TokenRequestContext(new[] { "https://storage.azure.com/.default" });
var token = await credential.GetTokenAsync(tokenRequest);

// 可选：用本地JWT解码工具查看token.Token内容，确认：
// - aud字段是否为https://storage.azure.com
// - tid字段是否与存储账户所在租户ID一致
// - 包含storage Blob相关的权限（如storage.blob.write）

2. 检查DefaultAzureCredential的凭证优先级 #

如果使用DefaultAzureCredential，它会按优先级尝试多种凭证源（环境变量、VS Code凭证、Azure CLI等），可能意外使用了权限不足的凭证。可以：

• 强制仅使用AzureCliCredential（如你最初的代码），排除其他凭证干扰
• 添加诊断日志查看凭证选择过程：

using Azure.Core.Diagnostics;

// 启用Azure SDK日志，查看凭证获取细节
using var listener = AzureEventSourceListener.CreateConsoleLogger();

// 执行你的Blob上传代码
var blobServiceClient = new BlobServiceClient(
    new Uri($"https://{AccountName}.blob.core.windows.net"),
    new DefaultAzureCredential());
// ...后续上传逻辑

3. 确认容器与Blob的权限配置 #

• 虽然你是存储账户所有者，但容器创建后默认权限为私有，可临时测试：在Azure门户将容器权限设置为容器级访问（仅用于排查，不建议长期开启），再尝试上传，若成功则说明权限验证存在细粒度问题
• RBAC权限延迟概率极低（你已排查2小时），可忽略

4. 检查存储账户网络规则 #

确认存储账户的防火墙/网络设置未限制SDK的请求IP：

• 登录Azure门户，进入存储账户 -> 网络 -> 防火墙和虚拟网络
• 确认当前运行代码的环境IP在允许列表中，或临时设置为允许所有网络访问测试

5. 代码细节校验 #

• 确认AccountName、ContainerName、BlobName变量值正确：容器名必须为小写，Blob名大小写敏感，避免拼写错误
• 尝试替换OpenWrite为UploadAsync简化测试，排除流操作的潜在问题：

var blobClient = blobContainerClient.GetBlobClient(BlobName);
var sampleId = Guid.Parse("971f7aaf-933c-487e-b6d1-95613275e00b");
var bytes = sampleId.ToByteArray();
await blobClient.UploadAsync(new MemoryStream(bytes), true);

内容的提问来源于stack exchange，提问作者Yohannes Kifle