Azure存储账户队列读取权限异常：自定义角色授权后仍报错

你的自定义角色配置中缺失了数据平面操作权限的配置，具体原因及修复方案如下：

1. Azure RBAC权限的分类差异
   Azure RBAC将权限明确分为两类：

• actions：管控管理平面操作，比如创建/修改存储账户、配置存储账户网络规则等资源管理类操作；
• dataActions：管控数据平面操作，比如存储队列的创建、读写、删除，Blob上传下载等数据访问类操作。

你当前的角色中actions设为*，仅覆盖了管理平面的所有操作，但队列相关操作属于数据平面范畴，不在actions的管控范围内，且角色的dataActions为空数组，导致用户没有队列操作的权限，触发授权报错。

2. 修复方案
   修改自定义角色的JSON配置，在dataActions字段中添加队列服务对应的权限。示例配置如下：

"permissions": [
    {
        "actions": [
            "*"
        ],
        "notActions": [
            // 保留原有禁止操作列表
            "Microsoft.Sql/servers/virtualNetworkRules/write",
            "Microsoft.Storage/storageAccounts/delete",
            "Microsoft.Storage/locations/deleteVirtualNetworkOrSubnets/action",
            "Microsoft.Storage/storageAccounts/privateEndpointConnections/delete",
            "Microsoft.Storage/storageAccounts/privateEndpointConnections/write",
            ...
        ],
        "dataActions": [
            // 授予队列服务的所有数据操作权限
            "Microsoft.Storage/storageAccounts/queueServices/*"
            // 也可根据需求配置更细粒度权限，例如：
            // "Microsoft.Storage/storageAccounts/queueServices/queues/read",
            // "Microsoft.Storage/storageAccounts/queueServices/queues/write",
            // "Microsoft.Storage/storageAccounts/queueServices/queues/delete"
        ],
        "notDataActions": []
    }
]

配置更新后，重新将该角色分配给用户，等待权限同步完成（通常需5-30分钟），即可正常执行队列相关操作。

内容的提问来源于stack exchange，提问作者RSW