如何解决Azure Function App访问Azure Storage Table的权限问题

问题背景 #

Azure Function App访问Azure Storage Table时抛出Forbidden异常，当前已为Function App分配了Contributor和Reader角色，但这两个管理角色不具备Storage数据访问权限，需要添加Storage Data Table Contributor角色，但在Function App的Access Control (IAM)页面无法找到该角色。

代码示例 #

let storageAccount   = CloudStorageAccount.Parse connectionString
let cloudTableClient = storageAccount.CreateCloudTableClient()
let cloudTable       = cloudTableClient.GetTableReference(tableName);

// ** EXCEPTION THROWN ON LINE BELOW **
let! exists = cloudTable.ExistsAsync() |> Async.AwaitTask

异常信息 #

Unexpected response code, Expected:OK or NotFound, Received:Forbidden

解决方案 #

问题核心是角色分配的范围选择错误：Storage Data Table Contributor是针对Storage资源的专用数据角色，无法在Function App的IAM页面找到，需要在目标Storage Account的IAM页面完成角色分配，步骤如下：

• 登录Azure门户，定位到需要访问的Azure Storage Account
• 进入该Storage Account的**Access Control (IAM)**页面
• 点击顶部的添加按钮，选择添加角色分配
• 在角色列表中搜索并选中Storage Data Table Contributor角色
• 切换到成员标签页，选择托管标识，然后选中你的Function App对应的托管标识（系统分配或用户分配均可）
• 完成配置后，等待5-10分钟让权限生效，再重新测试Function App的访问

补充说明：Contributor和Reader属于Azure RBAC的管理角色，仅用于资源的管理操作（如创建、删除资源），无法访问Storage中的具体数据（如Table、Blob等），必须使用专门的Storage数据角色才能实现数据访问权限的授权。

内容的提问来源于stack exchange，提问作者Scott Nimrod