Terraform生成SAS访问Azure私有Blob报AuthenticationFailed错误排查

1. 权限参数格式错误 #

Terraform中SAS的permissions字段要求使用单字符缩写组合（如r读、w写、l列出），如果误写为全称（如read）或组合错误，会导致权限无效。对比门户生成的SAS权限缩写，确保Terraform配置的permissions和门户完全一致。

2. 资源范围不匹配 #

SAS的资源范围必须和访问目标严格对应：

• 若访问Blob，容器级SAS需确保resource_types包含object；账户级SAS需开启Blob服务权限；
• Terraform如果错把容器SAS的资源范围设为service，或账户SAS未指定对应服务，都会触发认证失败。

3. 时间参数不符合UTC格式 #

Azure要求SAS的start和expiry必须是UTC时间（格式如2024-05-20T00:00:00Z），缺少Z后缀或使用本地时间会导致SAS被判定为未生效/已过期。对比门户生成的SAS时间戳，修正Terraform的时间格式。

4. 签名密钥不匹配 #

Azure存储账户有两个访问密钥，Terraform默认用key1，如果门户生成SAS时用的是key2，或密钥已轮换但Terraform未更新，会导致签名不一致。通过命令az storage account keys list --name <账户名> --resource-group <资源组名>确认有效密钥，确保Terraform使用的是当前生效的密钥。

5. IP限制/协议设置冲突 #

• 若Terraform配置了ip_address限制，当前访问IP不在范围内会认证失败；
• protocols参数如果设为http，但存储账户强制HTTPS（默认配置），也会报错。对比门户的对应设置，调整Terraform参数。

6. 资源名称编码问题 #

Blob或容器名称含特殊字符时，Terraform可能未正确编码，而门户会自动处理。尝试用无特殊字符的资源测试，确认是否因名称编码导致签名差异。

内容的提问来源于stack exchange，提问作者delkos