使用Postman调用Azure Rest API列示Blob时遇AuthorizationPermissionMismatch错误

可能原因 #

• 权限未生效：Azure RBAC权限分配后通常需要5-15分钟完成同步，刚配置完可能还未生效。
• 权限类型错误：需确认服务主体分配的是**存储Blob数据读取者（Storage Blob Data Reader）**角色，而非普通的「读取者（Reader）」角色——普通Reader角色不具备Blob数据的访问权限。
• 权限范围错误：检查权限是否精准分配到目标存储账户或容器，避免误分配到其他资源。
• Token受众不符：获取的access_token中aud字段必须为https://storage.azure.com/，若为https://management.azure.com/等其他值，会导致权限验证失败。可直接解码token查看payload内容。
• 请求格式错误：
  • 确认List Blobs请求URL格式正确：https://<存储账户名>.blob.core.windows.net/<容器名>?restype=container&comp=list
  • 确认Authorization头格式为Bearer <access_token>，无拼写错误或多余空格。
• 权限被覆盖：检查订阅/资源组层面是否存在拒绝（Deny）策略，或其他冲突的角色分配覆盖了当前权限。

解决步骤 #

1. 验证Token有效性
   • 解码access_token，确认aud字段为https://storage.azure.com/，roles字段包含Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read类权限。
2. 确认权限配置
   • 进入Azure门户，找到目标存储账户→「访问控制（IAM）」→「角色分配」，搜索服务主体，确认已分配Storage Blob Data Reader角色，且范围为当前存储账户或目标容器。
   • 等待15分钟，确保权限完全同步生效。
3. 检查请求细节
   • 核对请求URL的参数完整性，确保restype=container和comp=list参数未遗漏。
   • 检查Authorization头的格式，确保Bearer与token之间有且仅有一个空格。
4. 排查权限冲突
   • 检查是否存在拒绝类型的角色分配或Azure Policy，限制了服务主体的Blob读取操作。

内容的提问来源于stack exchange，提问作者Guilherme Rodrigues