Azure Function Blob Trigger处理客户密钥加密Blob报错求助

问题原因 #

默认的Blob Trigger绑定（直接注入Stream/string/byte[]）不会自动传递客户提供的加密密钥，导致访问加密Blob时返回BlobUsesCustomerSpecifiedEncryption错误。要处理加密Blob，必须手动配置带密钥的Blob客户端。

核心解决方案：使用BlobClient替代直接绑定 #

放弃直接注入Stream等类型，改用BlobClient作为触发器参数，手动添加CustomerProvidedKey配置来访问加密Blob。

代码实现 #

using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using Microsoft.Azure.WebJobs;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.Logging;
using System.IO;
using System.Threading.Tasks;

public class BlobsProcessor
{
    private readonly IConfiguration _config;

    // 通过依赖注入获取配置（用于读取加密密钥）
    public BlobsProcessor(IConfiguration config)
    {
        _config = config;
    }

    [FunctionName("BlobsProcessor")]
    public async Task Run(
        [BlobTrigger("abc/{name}", Connection = "Connection")] BlobClient blobClient,
        string name,
        ILogger log)
    {
        // 从安全配置（如Key Vault）读取客户加密密钥
        string encryptionKey = _config["BlobCustomerEncryptionKey"];
        var customerKey = new CustomerProvidedKey(encryptionKey);

        // 创建带加密密钥的Blob客户端实例
        var encryptedBlobClient = blobClient.WithCustomerProvidedKey(customerKey);

        // 下载Blob内容到流进行处理
        using var contentStream = new MemoryStream();
        await encryptedBlobClient.DownloadToAsync(contentStream);
        contentStream.Position = 0;

        // 在这里添加你的Blob内容处理逻辑
        log.LogInformation($"Successfully processed encrypted blob: {name}");
    }
}

关键注意事项 #

• 密钥安全管理：绝对不要硬编码加密密钥，将密钥存储在Azure Key Vault中，通过Function的托管标识获取访问权限，再通过IConfiguration读取密钥。
• 权限配置：确保Function的托管标识拥有目标Blob容器的读取权限，以及Key Vault的密钥读取权限。
• 版本兼容：确保使用的Azure.Storage.Blobs包版本支持WithCustomerProvidedKey方法（建议使用最新稳定版）。

替代方案：使用Event Grid Trigger #

如果需要更灵活的触发逻辑，可以用Event Grid Trigger替代Blob Trigger：当Blob上传完成时，Event Grid发送事件到Function，再由Function主动用带密钥的BlobClient获取并处理内容。

代码示例 #

using Azure.Messaging.EventGrid;
using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using Microsoft.Azure.WebJobs;
using Microsoft.Extensions.Configuration;
using Microsoft.Extensions.Logging;
using System.IO;
using System.Threading.Tasks;

public class BlobEventProcessor
{
    private readonly IConfiguration _config;

    public BlobEventProcessor(IConfiguration config)
    {
        _config = config;
    }

    [FunctionName("BlobEventProcessor")]
    public async Task Run(
        [EventGridTrigger] EventGridEvent eventGridEvent,
        ILogger log)
    {
        // 从Event Grid事件中解析Blob URI
        var blobData = eventGridEvent.Data.ToObjectFromJson<BlobCreatedEventData>();
        var blobUri = new Uri(blobData.Url);

        // 创建Blob客户端并添加加密密钥
        var blobClient = new BlobClient(blobUri, new DefaultAzureCredential());
        string encryptionKey = _config["BlobCustomerEncryptionKey"];
        var customerKey = new CustomerProvidedKey(encryptionKey);
        var encryptedBlobClient = blobClient.WithCustomerProvidedKey(customerKey);

        // 下载并处理Blob内容
        using var contentStream = new MemoryStream();
        await encryptedBlobClient.DownloadToAsync(contentStream);
        contentStream.Position = 0;

        // 处理逻辑...
        log.LogInformation($"Processed blob from Event Grid: {blobData.BlobName}");
    }
}

内容的提问来源于stack exchange，提问作者Vicky