使用托管身份通过GitHub Actions发布Azure Functions时认证失败

从错误日志和配置来看，核心问题是GitHub Action通过RBAC访问AzureWebJobsStorage对应的存储账户时认证失败。尽管用于登录的应用注册拥有订阅级Contributor角色，但存储账户的特定Blob数据操作权限缺失或配置存在问题，导致无法上传函数包。

可能原因及解决方案 #

1. 补充存储账户的Blob数据操作权限 #

订阅级Contributor角色不直接包含存储账户的Blob数据读写权限，需要单独为应用注册添加存储账户级的Storage Blob Data Contributor角色：

• 找到AzureWebJobsStorage对应的存储账户
• 进入「访问控制(IAM)」→「添加角色分配」
• 选择角色：Storage Blob Data Contributor
• 分配对象类型选「用户、组或服务主体」，选中用于GitHub Action登录的应用注册完成添加

2. 修正AzureWebJobsStorage__accountName键名大小写 #

日志中出现警告Neither AzureWebJobsStorage nor AzureWebJobsStorage__accountName exist in app settings，说明Action未正确识别配置的键。检查函数应用配置，确保键名是AzureWebJobsStorage__accountName（注意Name首字母大写），而非全小写的accountname。

3. 升级Azure Functions Action版本 #

Azure/functions-action@v1为旧版本，对Linux消费计划的RBAC支持存在已知问题，建议升级到最新稳定版：

- name: "Run Azure Functions Action"
  uses: Azure/functions-action@v4
  with:
    app-name: mysuperapp-functionapp
    package: ./MySuperAppFunctions/src/output

4. 临时用连接字符串绕开RBAC排查 #

若上述操作无效，可临时改用完整存储连接字符串验证是否为权限配置问题：

• 从存储账户「访问密钥」页面获取完整连接字符串
• 在函数应用配置中添加AzureWebJobsStorage键，值为该连接字符串
• 重新触发流水线，Action会自动使用连接字符串访问存储，绕开RBAC认证逻辑

验证步骤 #

1. 确认应用注册已获得存储账户的Storage Blob Data Contributor权限
2. 检查AzureWebJobsStorage__accountName键名大小写是否匹配要求
3. 升级Action版本后重新部署
4. 若仍失败，改用完整连接字符串测试

内容的提问来源于stack exchange，提问作者Łukasz Sypniewski