Azure Functions使用系统分配托管身份列出Azure Data Lake容器内文件夹Blob时遇AuthorizationPermissionMismatch权限错误

嘿，我帮你排查下这个问题——你遇到的AuthorizationPermissionMismatch错误，本质是当你调用GetPathsAsync("testfolder")列举特定文件夹内容时，权限校验的逻辑和容器根目录的场景不同，哪怕你已经给托管身份分配了Storage Blob Data Contributor角色。下面是几个可行的解决方向：

1. 检查RBAC角色的分配范围 #

你当前的角色分配可能是在容器级别，虽然RBAC权限理论上会继承到子文件夹，但ADLS Gen2对文件夹级别的列举操作，有时候需要更明确的权限覆盖。你可以尝试：

• 把Storage Blob Data Contributor角色的分配范围缩小到testfolder这个具体路径（在Azure Portal的存储账户→访问控制→添加角色分配，目标资源选择“文件夹”，指定路径my-file-system/testfolder）
• 或者（如果安全允许）把角色分配到存储账户级别，这样所有容器和子路径都会继承权限

2. 配置ADLS Gen2的文件夹ACL权限 #

ADLS Gen2除了RBAC，还有自身的POSIX-style ACL系统，如果你的文件夹设置了自定义ACL，可能会覆盖RBAC的权限。你可以这样检查和配置：

• 用Azure CLI查看文件夹的当前ACL：

  az storage fs access show -n my-file-system -p testfolder --account-name <myDataLake>
  

• 如果托管身份没有对应的读取/列举权限，执行以下命令添加（替换<managed-identity-object-id>为你Azure Functions系统身份的对象ID，可从Functions的“身份”页面获取）：

  az storage fs access set -n my-file-system -p testfolder --account-name <myDataLake> --permissions "r-x" --entity-id <managed-identity-object-id> --entity-type user
  

  这里的r-x权限允许读取和列举文件夹内容，刚好满足你的需求。

3. 代码层面的临时 workaround #

如果你暂时不想调整权限配置，可以先列举容器根目录的所有路径，再在代码中过滤出目标文件夹下的项——因为你已经能正常访问根目录：

string dfsUri = "https://<myDataLake>.dfs.core.windows.net";
DataLakeClientOptions options = new DataLakeClientOptions(DataLakeClientOptions.ServiceVersion.V2019_07_07);
DataLakeServiceClient dataLakeServiceClient = new DataLakeServiceClient(new Uri(dfsUri), new Azure.Identity.DefaultAzureCredential(),options);
DataLakeFileSystemClient dataLakeFileSystemClient = dataLakeServiceClient.GetFileSystemClient("my-file-system");

// 列举根目录所有路径
IAsyncEnumerator<PathItem> enumerator = dataLakeFileSystemClient.GetPathsAsync("").GetAsyncEnumerator();
await enumerator.MoveNextAsync();
PathItem item = enumerator.Current;

while (item != null) {
    // 过滤出testfolder下的文件/子文件夹
    if (item.Name.StartsWith("testfolder/", StringComparison.OrdinalIgnoreCase))
    {
        log.LogInformation($"File Name {item.Name}.");
    }
    if (!await enumerator.MoveNextAsync()) {
        break;
    }
    item = enumerator.Current;
}

4. 确保使用正确的托管身份凭证 #

有时候DefaultAzureCredential会优先尝试其他凭证（比如环境变量中的本地开发凭证），你可以明确指定使用ManagedIdentityCredential，确保调用时用的是Azure Functions的系统分配身份：

DataLakeServiceClient dataLakeServiceClient = new DataLakeServiceClient(
    new Uri(dfsUri), 
    new Azure.Identity.ManagedIdentityCredential(), 
    options);

内容的提问来源于stack exchange，提问作者Kaja