使用Azure Function Identity访问存储容器遇403权限错误求助

1. 核对权限绑定的对象ID #

• 确认添加到存储容器权限配置的对象ID，是Azure Function系统分配托管标识的对象ID：
  • 进入Azure门户的Function App页面，左侧菜单选「标识」→「系统分配」，复制此处的对象ID，与你配置到容器的ID逐一比对，避免用错函数应用ID或个人用户ID。

2. 修正授权方式的混淆问题 #

你使用DefaultAzureCredential进行身份验证，这依赖于Azure RBAC角色授权，而非容器级访问策略（容器访问策略用于SAS令牌场景）：

• 进入存储容器的「访问控制(IAM)」页面，为托管标识分配存储Blob数据参与者角色（或按需分配更细粒度的角色，如存储Blob数据读取者+写入者）；
• 若之前仅配置了容器访问策略，需补充RBAC角色分配，或切换到SAS令牌授权方式（不推荐生产环境使用）。

3. 等待权限生效时间 #

RBAC角色分配通常需要5-15分钟才能完全生效，若刚配置完就测试，需等待足够时间后重试。

4. 验证托管标识启用状态 #

• 回到Function App的「标识」页面，确认「系统分配」状态为「开启」；
• 若使用用户分配的托管标识，需确保函数应用已关联该标识，且代码中指定了标识的客户端ID：DefaultAzureCredential(managed_identity_client_id="你的客户端ID")。

5. 核对代码中的资源信息 #

• 检查account_url是否为目标存储账户的Blob服务URL，无拼写错误；
• 容器名称complete需与实际容器名完全匹配（Azure存储容器名称区分大小写，且仅支持小写字母、数字和短横线）。

6. 检查存储账户的网络限制 #

若存储账户开启了防火墙：

• 可将网络访问设置为「允许所有网络」临时测试；
• 或在存储账户「网络」设置中，添加Function App的出站IP地址，勾选「允许受信任的Microsoft服务访问此存储账户」。

7. 排查权限覆盖问题 #

• 检查存储账户或容器是否存在RBAC拒绝分配，这类规则会优先覆盖允许权限；
• 用Azure CLI命令确认权限分配：

  az role assignment list --assignee <托管标识对象ID> --scope /subscriptions/<订阅ID>/resourceGroups/<资源组>/providers/Microsoft.Storage/storageAccounts/<存储账户名>/blobServices/default/containers/<容器名>
  

内容的提问来源于stack exchange，提问作者FalloutATS21