基于AWS Lambda的S3至Azure Blob Storage文件迁移：连接问题

一、SAS令牌相关问题 #

• 检查SAS令牌有效期：本地测试时令牌可用，但部署到Lambda时可能已过期，确认令牌se参数对应的时间是否晚于当前时间。
• 验证SAS权限与资源范围：确保令牌包含list权限（sp参数含l），且资源范围（sr参数）覆盖目标容器（c代表容器）。
• 排查IP限制：如果SAS设置了允许的IP范围，Lambda出口IP不在范围内会被拒绝。查看Azure Portal的SAS IP限制配置，同时确认Lambda的出口IP（若用VPC则看VPC的公网IP，否则参考AWS服务公网IP范围）。
• 避免编码错误：SAS令牌含+、/、=等特殊字符，不要硬编码在代码里，存在Lambda环境变量中，确保读取时无转义问题。

二、Lambda环境配置问题 #

• 对齐Java版本：本地开发用的Java版本要和Lambda运行时版本一致，不同版本可能导致Azure SDK兼容性问题。
• 确认依赖完整性：打包部署时要包含所有azure-storage-blob相关依赖，若用Lambda层，确保层内依赖无遗漏。
• 检查环境变量读取：如果SAS令牌存在环境变量中，代码里要正确读取，比如用System.getenv("AZURE_SAS_TOKEN")，避免变量名拼写错误。

三、网络限制排查 #

• 检查Azure Blob网络规则：若Azure容器设置了“仅允许选定网络访问”，Lambda出口IP不在允许列表会被拒绝。可临时改为“允许所有网络访问”测试，再调整IP范围。
• 确认VPC配置（若Lambda在VPC内）：安全组要放开出站HTTPS（443端口），路由表要有指向互联网的路由（比如通过NAT网关），确保能访问Azure Blob的公网地址。
• 代理配置检查：如果Lambda需通过代理访问外网，要在Azure SDK的Blob客户端中配置正确的代理参数，比如通过HttpClient设置代理地址和端口。

四、代码细节检查 #

• 确认SAS拼接方式：容器URL要正确拼接SAS令牌，格式为https://<account>.blob.core.windows.net/<container>?<sas-token>，避免多余字符或拼接错误。
• 对齐Azure SDK版本：本地和Lambda部署的Azure SDK版本要一致，建议用稳定最新版，避免版本差异导致身份验证逻辑异常。
• 启用调试日志：在Lambda中添加日志，打印容器URL（隐藏敏感SAS部分）、Azure返回的错误详情（比如403错误的具体原因），根据日志定位问题。

内容的提问来源于stack exchange，提问作者Ankit A.