App Service拥有Blob存储Storage Contributor角色，上传Blob时遇AuthorizationPermissionMismatch异常

针对你遇到的App Service托管身份已分配Storage Contributor角色，但仅上传Blob失败（GET/DELETE正常）的问题，可按以下方向排查：

1. 确认角色权限的生效时机 #

Azure RBAC角色分配/调整后，最长可能需要30分钟才能完全生效。如果刚修改完角色配置，先等待一段时间再测试，避免因未生效导致的权限问题。

2. 检查角色分配的范围与主体正确性 #

• 确保Storage Contributor角色是分配到目标存储账户本身（或包含它的资源组/订阅），而非其他无关资源。
• 确认角色分配的主体是App Service对应的托管身份（系统分配的身份需选择App Service名称，用户分配的身份需选择对应的托管资源名称）。
• 可在存储账户的「IAM - 角色分配」页面，搜索托管身份的名称，验证角色是否正确分配。

3. 排查代码中的认证逻辑 #

确保代码正确使用托管身份认证，而非混用连接字符串或错误的认证方式。以.NET SDK为例，正确的初始化代码如下：

using Azure.Identity;
using Azure.Storage.Blobs;

// 使用默认凭据（自动获取App Service的托管身份）
var credential = new DefaultAzureCredential();
var blobServiceClient = new BlobServiceClient(
    new Uri("https://<your-storage-account>.blob.core.windows.net"),
    credential
);

// 上传Blob示例
var containerClient = blobServiceClient.GetBlobContainerClient("your-container");
await using var stream = File.OpenRead("local-file-path");
await containerClient.UploadBlobAsync("target-blob-name", stream);

注意：不要在代码中同时存在连接字符串和托管身份认证的逻辑，避免冲突。

4. 验证托管身份的有效权限 #

使用Azure CLI查询托管身份对存储账户的有效权限，确认是否包含Blob写入权限：

# 替换为托管身份的Client ID、订阅ID、资源组名称、存储账户名称
az role assignment list --assignee <managed-identity-client-id> --scope "/subscriptions/<sub-id>/resourceGroups/<rg-name>/providers/Microsoft.Storage/storageAccounts/<storage-account-name>"

返回结果中，检查roleDefinitionName为Storage Contributor的条目，确认permissions包含actions中的Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write。

5. 排除容器级ACL或网络限制 #

• 检查目标Blob容器的访问控制设置，确认没有单独配置拒绝写入的自定义权限（RBAC优先级高于容器ACL，但特殊拒绝规则可能影响）。
• 若存储账户设置了防火墙或虚拟网络限制，确认App Service的出站IP地址已加入存储账户的允许列表（虽然GET/DELETE正常，但可排除网络层面的特殊限制）。

内容的提问来源于stack exchange，提问作者Kishan Anem