如何为Databricks文件触发器配置存储防火墙白名单？

报错信息：「Invalid credentials for storage location abfss://@.dfs.core.windows.net/. The credentials for the external location in the Unity Catalog cannot be used to read the files from the configured path. Please grant the required permissions.」

问题根源 #

常规Databricks作业通过VNet注入的工作区子网访问存储，已在防火墙白名单内，所以功能正常；但文件触发器的文件扫描操作是由Databricks控制平面的托管服务发起，该服务使用的10.120.x.x段IP不在你之前配置的子网白名单中，因此被存储防火墙拦截，触发了上述误导性的"凭证无效"报错。

解决方案步骤 #

• 登录Azure门户，定位到目标存储账户
• 进入「网络」>「防火墙和虚拟网络」配置页面
• 确认「允许访问的网络」设置为「选定的网络」
• 在「地址范围」区域，添加日志中捕获的10.120.x.x对应的IP段（例如10.120.0.0/16，或根据实际日志中的具体IP范围设置更精确的子网段）
• 保存配置后，重新测试文件触发器功能

额外检查项 #

• 配置完成后，查看存储账户的活动日志，确认10.120.x.x段的访问请求已被允许
• 若问题仍存在，再次验证Unity Catalog外部位置的权限配置（确保关联的服务主体/托管身份拥有存储路径的读取权限）

内容的提问来源于stack exchange，提问作者Hubert