使用存储密钥连接Azure Storage Gen2，设置ACL时触发InvalidOwner错误

1. 核对ACL参数格式 #

PowerShell和Python客户端对ACL条目的格式要求存在差异，尤其是所有者/组的指定规则：

• 设定ACL时，owner和group参数必须使用Azure AD对象的UUID，不能用显示名、UPN这类标识。如果是使用$superuser，要确认Python客户端中是否保留了特殊符号的正确格式，避免误传无效值。
• 示例正确的代码写法：

from azure.storage.filedatalake import DataLakeServiceClient

# 初始化客户端
service_client = DataLakeServiceClient(
    account_url="https://<你的存储账户名>.dfs.core.windows.net",
    credential="<你的存储账户密钥>"
)
file_system_client = service_client.get_file_system_client(file_system="<容器名>")
dir_client = file_system_client.get_directory_client("<目标目录路径>")

# 设置ACL：owner和group用对象ID，ACL条目按规范格式编写
dir_client.set_access_control(
    owner="<Azure AD用户/服务主体的对象ID>",
    group="<Azure AD组的对象ID>",
    acl=["user::rwx", "group::r-x", "other::---", "user:<指定用户对象ID>:rwx"]
)

2. 升级客户端包版本 #

旧版本的azure-storage-file-datalake对Gen2 ACL的处理存在兼容性bug，建议升级到最新稳定版：

pip install --upgrade azure-storage-file-datalake

3. 仅设置ACL条目（无需修改所有者/组时） #

如果只是要添加或修改ACL权限条目，不需要变更所有者和组，不要传递owner和group参数，只传入acl参数即可，避免因误传无效值触发错误：

dir_client.set_access_control(acl=["user::rwx", "group::r-x", "other::---", "group:<指定组对象ID>:r-x"])

4. 确认账户权限 #

虽然用存储账户密钥能正常读取，但设置ACL需要账户拥有Storage Blob Data Owner角色权限，检查存储账户的IAM设置，确认没有权限限制。

在Azure门户找到对应的存储账户资源，提交工单时选择：

• 问题类型：「数据存储」→「Azure Blob 存储」（因为Gen2是Blob存储的分层命名空间扩展）
• 或者直接搜索选择「Azure Data Lake Storage Gen2」分类，提交具体问题描述。

内容的提问来源于stack exchange，提问作者Mark Knutson