基于系统分配托管标识的AKS Java应用访问Azure Blob存储问题排查

1. 修正Java代码语法错误 #

你的代码中endpoint方法调用后缺少点号，会导致编译失败，修正后代码如下：

DefaultAzureCredential defaultAzureCredential = new DefaultAzureCredentialBuilder().build();
BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
    .credential(defaultAzureCredential)
    .endpoint("https://<存储账户名>.blob.core.windows.net") // 替换为你的Blob服务端点
    .buildClient();
BlobContainerClient blobContainerClient = blobServiceClient.getBlobContainerClient("<容器名>");

2. 确认Pod的系统托管标识配置（Azure AD Workload Identity） #

AKS上应用使用系统分配托管标识，需通过Azure AD Workload Identity实现，确保Pod的Deployment/YAML配置正确：

• 在Pod模板中添加注解：azure.workload.identity/use: "true"
• 添加标签：azure.workload.identity/namespace: <你的命名空间>

示例Deployment片段：

apiVersion: apps/v1
kind: Deployment
metadata:
  name: your-app-deployment
spec:
  replicas: 1
  selector:
    matchLabels:
      app: your-app
  template:
    metadata:
      labels:
        app: your-app
        azure.workload.identity/namespace: default # 替换为你的命名空间
      annotations:
        azure.workload.identity/use: "true"
    spec:
      containers:
      - name: your-app-container
        image: your-app-image:latest

3. 正确配置存储账户IAM角色分配 #

之前给AKS集群标识分配角色是错误的，需将Storage Blob Data Reader（只读需求）或Storage Blob Data Owner（读写需求）角色分配给Pod的系统托管标识：

• 打开Azure门户，进入目标存储账户的「IAM」页面
• 点击「添加」→「添加角色分配」
• 选择对应权限的角色，在「成员」页选择「托管标识」→「选择成员」
• 选中AKS集群所在订阅，找到对应Pod的系统托管标识（命名格式通常为aks-<命名空间>-<Deployment名>-<随机后缀>）
• 完成分配后等待5-10分钟让权限生效

4. 验证DefaultAzureCredential的环境适配 #

在AKS Workload Identity环境中，DefaultAzureCredential会自动适配环境，无需额外配置，只需确保Pod内自动注入的环境变量正常：

• 检查Pod内是否存在AZURE_CLIENT_ID、AZURE_TENANT_ID环境变量，这些由Workload Identity自动注入

5. 测试权限与连接 #

可在Pod内通过Azure CLI验证权限是否生效：

# 进入Pod
kubectl exec -it <pod-name> -- /bin/bash

# 安装Azure CLI（若未预装）
apt-get update && apt-get install -y azure-cli

# 登录并列出Blob容器
az login --identity
az storage container list --account-name <存储账户名> --auth-mode login

如果命令能正常返回容器列表，说明权限配置正确，再测试Java代码即可。

内容的提问来源于stack exchange，提问作者Sriram G