Azure Container App挂载Azure文件卷时出现权限拒绝异常求助

问题背景 #

部署在Azure Container App的.NET Core 5应用，挂载Azure文件共享作为持久卷，此前运行正常。近期写入文件时，仅创建文件后就抛出UnauthorizedAccessException，但读取卷内容正常。Azure文件共享已配置为读写模式，挂载无异常。

异常信息：

System.UnauthorizedAccessException: Access to the path '/app/Card/IMPORTINTERNATIONAL/EXP_3_20231129_1.XML' is denied.
---> System.IO.IOException: Permission denied
--- End of inner exception stack trace ---
at System.IO.FileStream.WriteNative(ReadOnlySpan`1 source)
at System.IO.FileStream.FlushWriteBuffer()
at System.IO.FileStream.Dispose(Boolean disposing)
at System.IO.Stream.Close()
at System.IO.StreamWriter.CloseStreamFromDispose(Boolean disposing)
at System.IO.StreamWriter.Dispose(Boolean disposing)
at System.IO.TextWriter.Dispose()
at PCES.CardService.Web.Controllers.QPCController.<>c__DisplayClass25_0.

排查与解决步骤 #

1. 检查容器运行用户与挂载目录权限 #

Azure Container App默认使用非root用户（通常UID 1000）运行，而Azure文件共享挂载后，目录/文件默认由root用户（UID 0）拥有，导致非root用户无法写入。

• 进入容器执行命令查看权限：

  ls -ld /app/Card/IMPORTINTERNATIONAL
  

• 解决方式：
  • 临时排查：修改Container App的容器配置，指定以root用户启动（不推荐生产环境使用）；
  • 生产环境：在部署Azure文件共享时，通过mountOptions指定权限，比如添加dir_mode=0777,file_mode=0777让所有用户可读写；或者在Dockerfile中创建对应UID的用户，并赋予挂载目录权限。

2. 验证Azure文件共享的权限与配置 #

• 确认Azure存储账户的访问密钥未过期，且文件共享的权限设置为读写；
• 检查Container App的持久卷配置，确保readOnly设置为false，挂载路径与应用代码中的路径完全一致。

3. 检查应用代码的文件写入逻辑 #

• 确保文件流被正确释放，避免文件被锁定导致写入失败。推荐使用using块自动管理资源：

  var filePath = "/app/Card/IMPORTINTERNATIONAL/EXP_3_20231129_1.XML";
  using (var stream = new FileStream(filePath, FileMode.Create, FileAccess.Write, FileShare.None))
  using (var writer = new StreamWriter(stream))
  {
      writer.Write("写入内容");
  }
  

• 避免在创建文件后手动设置过高的权限（比如仅允许当前用户读写，但容器运行用户无对应权限）。

4. 排查存储层级的IO限制 #

如果使用标准存储层级，IOPS或吞吐量超过限制时，可能会触发类似权限拒绝的异常。查看Azure存储账户的监控指标（如TotalIOps、Ingress/Egress），确认是否达到阈值。若超过，可升级到高级存储层级。

5. 容器内手动验证权限 #

在容器内执行手动写入操作，判断是容器权限问题还是应用代码问题：

echo "test content" > /app/Card/IMPORTINTERNATIONAL/test_write.txt

• 若命令执行失败：说明容器层面无写入权限，回到步骤1处理；
• 若命令执行成功：说明问题出在应用代码逻辑，检查文件流处理、权限设置等。

内容的提问来源于stack exchange，提问作者Ashish Kumar