Azure AD用户访问Azure DataLake容器Manage ACL时遇Forbidden错误

问题概述 #

• 通过Terraform创建启用DataLake Storage Gen2的Azure存储账户，已配置RBAC权限，但执行Storage Browser > Manage ACL > Access Permissions Tab操作时持续返回Forbidden错误。
• 错误表现：操作界面显示“Forbidden”提示，无法完成ACL配置。
• 当前RBAC权限：用户已被分配存储账户级别的Storage Blob Data Contributor角色。

核心原因 #

Azure DataLake Storage Gen2的ACL管理需要专属的RBAC权限，Storage Blob Data Contributor仅具备Blob数据的读写管理权限，不包含ACL修改权限。

解决方案 #

• 分配适配角色：为用户分配Storage Blob Data Owner角色（可在存储账户、容器或目录级别），该角色拥有完整的Blob数据及ACL管理权限。
• 校验Terraform配置：确保存储账户创建时已启用DataLake Gen2功能，关键配置参数如下：

resource "azurerm_storage_account" "datalake_sa" {
  name                     = "your-storage-account-name"
  resource_group_name      = azurerm_resource_group.your_rg.name
  location                 = azurerm_resource_group.your_rg.location
  account_tier             = "Standard"
  account_replication_type = "GRS"
  is_hns_enabled           = true # 必须启用以支持DataLake Gen2特性
}

• 等待权限生效：RBAC角色分配完成后，通常需要5-10分钟完成权限同步，等待后重试操作。
• 检查权限继承：若针对容器/目录操作，确认父资源的权限是否正确继承，或直接在目标资源上分配对应权限。

内容的提问来源于stack exchange，提问作者RSW