使用Databricks服务主体写入Synapse专用池时403错误排查

• Synapse SQL池无ADLS访问权限：服务主体虽有ADLS的Storage Blob Data Contributor权限，但Synapse专用SQL池本身需要具备访问该tempDir路径的权限。需确认Synapse是否通过托管身份或关联服务主体获得了ADLS的Storage Blob Data Reader及以上权限。
• 存储网络限制拦截：若ADLS存储账户开启了防火墙或虚拟网络隔离，而Synapse SQL池所在的网络未被加入允许访问列表，即使权限配置正确，也会被防火墙拦截导致403。
• 外部位置验证权限不足：Synapse验证外部位置时，除了写入权限，还需要对存储路径的列表权限。Storage Blob Data Contributor权限虽包含写入，但如果存储账户的权限设置中限制了列表操作，会导致验证失败。
• 权限传递不匹配：Databricks用服务主体写入tempDir，但Synapse读取临时数据时未使用同一权限主体。需确认Synapse是否配置了使用该服务主体访问外部存储，或已为其托管身份赋予对应存储权限。
• Synapse外部位置对象权限错误：若已在Synapse中创建了对应tempDir的外部位置对象，需确保该对象的权限配置允许当前服务主体或Synapse托管身份访问。

内容的提问来源于stack exchange，提问作者azuresnowflake1