Python Azure Function访问Blob存储遇授权权限不匹配错误排查

针对你遇到的问题，按以下方向逐一排查：

• 确认DefaultAzureCredential实际使用的凭证
  DefaultAzureCredential会按顺序尝试多种凭证源（Azure CLI、VS Code账户、环境变量、Managed Identity等），你需要确认Function实际用的是哪个凭证。可以在代码里添加日志，打印获取的令牌信息：

  from azure.identity import DefaultAzureCredential
  credential = DefaultAzureCredential()
  token = credential.get_token("https://storage.azure.com/.default")
  print(f"Using token from tenant: {token.tenant_id}, user/client: {token.subject}")
  

  检查输出的租户ID、主体ID是否和你配置了角色权限的账户/服务主体一致。如果不一致，说明用的是其他未授权的凭证（比如VS Code登录了另一个无权限的账户）。

• 验证角色权限的正确性
  必须确保分配的是Blob数据角色，而非管理角色：

  • 正确角色：Storage Blob Data Contributor、Storage Blob Data Reader等（包含Blob列表权限）
  • 错误角色：Contributor、Owner这类管理角色没有Blob数据操作权限
    同时检查角色分配的范围：确认角色是分配到目标存储账户（或包含该账户的订阅/资源组），且目标容器textfilescontainer在该范围内。另外，角色分配可能需要5-10分钟生效，刚配置的话可以等一会儿再测试。

• 检查local.settings.json的环境变量干扰
  如果你的local.settings.json里设置了AZURE_CLIENT_ID、AZURE_TENANT_ID、AZURE_CLIENT_SECRET这些环境变量，DefaultAzureCredential会优先使用对应的服务主体。需要确认这个服务主体是否被分配了正确的Blob数据角色。如果不需要用服务主体，可暂时移除这些变量，让DefaultAzureCredential使用VS Code或Azure CLI的账户。

• 直接验证账户权限
  用当前Function使用的账户，通过Azure CLI测试Blob列表操作：

  az storage blob list --account-name <你的存储账户名> --container-name textfilescontainer --auth-mode login
  

  如果这个命令报错，说明账户确实没有权限，重新检查角色分配；如果命令成功，说明问题出在Function的凭证获取逻辑上。

• 检查BlobServiceClient初始化细节
  确认代码中存储账户名称、容器名称拼写正确：

  • 存储账户URL格式必须是https://<账户名>.blob.core.windows.net，账户名无拼写错误
  • 容器名称是大小写敏感的，必须和实际容器名称完全一致（Azure存储容器名称只能小写）

内容的提问来源于stack exchange，提问作者anon