如何为Azure Pipeline的Azure File Copy授予Azure Storage访问权限并找到对应服务主体

我来帮你搞定这个403权限问题！你遇到的错误确实是因为Azure Pipeline用的服务连接对应的服务主体没有访问Azure Storage的权限，下面是找到这个服务主体并给它授权的详细步骤：

首先你得找到那个自动创建的My Sandbox (a1111e1-d30e-4e02-b047-ef6a5e901111)服务连接对应的服务主体：

• 打开你的Azure DevOps项目，进入项目设置 -> 服务连接，找到这个目标服务连接，点击右侧的三个点（更多操作），选择管理服务主体。这会直接跳转到Azure Portal里对应的服务主体页面，非常方便。
• 如果跳转失败，你可以手动去Azure Portal查找：登录后搜索进入Azure Active Directory -> 企业应用程序，在搜索框输入服务连接的全名，找到匹配的企业应用（这就是对应的服务主体）。进入页面后，复制它的应用程序(客户端)ID，后面授权会用到。

接下来给这个服务主体加上访问存储账户的必要权限：

• 打开Azure Portal，找到你的目标Storage账户，进入**访问控制(IAM)**页面。
• 点击添加 -> 添加角色分配。
• 在角色列表里选合适的权限：如果只是复制文件到Blob存储，推荐选存储Blob数据参与者（这个角色刚好有读写Blob的权限，符合最小权限原则）；要是需要更全面的管理权限，可以选存储账户参与者，但前者更安全。
• 切换到成员页面，选择选择成员，粘贴之前复制的服务主体应用程序ID，找到对应的主体并添加进去。
• 最后点击查看 + 分配完成权限配置。

权限添加后等个几分钟让Azure同步生效，然后重新运行你的Azure Pipeline，应该就能解决这个403授权错误了。另外也可以再检查下Azure File Copy任务的配置，确认选的服务连接和存储账户都是正确的，避免选错资源导致的问题。

内容的提问来源于stack exchange，提问作者Kenny_I