Azure Terraform中CDN Endpoint因SAS令牌过长报错的解决方法咨询

数据老陈

2026-7-24

解决办法

1. 生成精简的SAS令牌（最直接有效）

通过减少SAS令牌的参数数量与长度，将query string控制在100字符限制内：

使用容器级SAS而非存储账户级SAS：容器级SAS无需指定ss服务类型参数，天然缩短字符串长度。示例Terraform代码：

resource "azurerm_storage_container_sas" "cdn_redirect" {
  container_name        = azurerm_storage_container.example.name
  storage_account_name  = azurerm_storage_account.example.name
  permissions           = "r" # 仅授予只读权限，最小化权限范围
  expiry                = timeadd(timestamp(), "24h") # 设置短有效期，缩减`se`参数长度
  # 不指定`start`参数，SAS默认从生成时间生效，省去`st`参数
}

# 提取SAS的query string部分（去除开头的?）
locals {
  sas_query_string = replace(azurerm_storage_container_sas.cdn_redirect.sas, "^\\?", "")
}

精简参数细节：
- 仅保留业务必需的权限（如只读r，避免全权限rwdlacup）
- 使用最短有效时间范围（如24小时而非数月/年），有效期尽量用YYYY-MM-DD格式（Azure支持此格式）
- 省略可选参数：如start（默认当前时间）、spr（默认HTTPS）等

2. 改用URL重写而非重定向（若业务允许）

如果无需强制客户端跳转，可使用url_rewrite_action替代url_redirect_action，直接在CDN层面修改请求的查询字符串并转发到存储账户，此方式不受重定向query string长度限制：

query_string_condition {
  operator         = "Contains"
  negate_condition = true
  match_values     = ["sig"]
}
url_rewrite_action {
  source_pattern = "/"
  destination = "/{path}?${local.sas_query_string}&{query_string}"
  preserve_unmatched_path = true
}

注意：此方式客户端不会看到带SAS的URL，但能正常访问目标资源。