使用ADF Web Activity修改Blob存储层级遇请求失败求助

一、核心原则：认证方式二选一，别混用 #

你同时配置MSI和SAS是大概率的错误根源，服务器无法识别有效认证会直接拦截请求，二选一即可：

1. MSI认证（推荐，无需管理SAS） #

• 给ADF的托管身份（MSI）在目标存储账户上分配Storage Blob Data Contributor角色（必须是这个数据权限角色，普通Contributor不具备Blob操作权限）
• Web Activity里「认证」选Managed Identity，「资源」填https://storage.azure.com/
• URL里不要加SAS参数，也别手动添加Authorization请求头，ADF会自动生成认证信息

2. SAS认证 #

• 生成SAS时必须勾选Write权限（修改层级需要写权限），有效时间要覆盖任务执行窗口
• URL直接拼接SAS令牌：https://<存储账户名>.blob.core.windows.net/<容器名>/<Blob路径>?<SAS令牌>
• 无需配置MSI认证，也不要添加Authorization头

二、Web Activity 必配参数 #

• 请求方法：固定选择PUT
• 请求URL：MSI模式用纯Blob地址，SAS模式加上SAS参数即可
• 必填请求头：
  • x-ms-date：用ADF表达式utcNow('R')自动生成（格式为GMT标准时间，比如Tue, 15 Nov 1994 08:12:31 GMT，手动输入极易出错）
  • x-ms-version：填写支持分层存储的服务版本，比如2021-06-08（避免使用过旧版本）
  • x-ms-blob-tier：目标存储层级，比如Hot/Cool/Archive（注意大小写必须与官方定义一致）

三、Blob的前置要求 #

• 必须是块Blob：Append Blob和Page Blob不支持修改层级操作
• 若Blob处于Archive层级：需要先完成解冻（可通过ADF的Copy Activity或另一个Web Activity调用解冻API），才能修改为Hot/Cool层级
• 存储账户默认已开启分层存储，若手动关闭过需重新启用

四、快速排查点 #

1. 立即停止同时使用MSI和SAS的配置，二选一重试
2. 检查MSI的角色是否为Storage Blob Data Contributor，不要误配成普通Contributor
3. 直接用utcNow('R')生成x-ms-date，避免手动输入格式错误
4. 确认Blob类型为块Blob，其他类型无法修改层级

内容的提问来源于stack exchange，提问作者Sakhi