自动化账户Runbook调用Get-AzStorageFileContent时存储凭据找不到问题求助

问题核心 #

使用Azure自动化Runbook跨订阅访问存储账户文件共享，调用Get-AzStorageFileContent时出现两类错误：

• PowerShell ISE测试：Can not find your azure storage credential. Please set current storage account using "Set-AzSubscription" or set the "AZURE_STORAGE_CONNECTION_STRING" environment variable.
• Runbook执行：please provide a valid tenant or a valid subscription（已确认租户/订阅ID正确）
  但同一脚本中可正常向该存储账户写入文件，采用托管身份认证。

根本原因 #

1. Get-AzStorageFileContent需要明确指定目标存储账户的上下文，仅通过Set-AzContext切换订阅上下文不足以让命令识别要操作的存储账户。
2. 跨订阅场景下，托管身份可能缺少目标订阅的基础访问权限，导致无法定位存储账户。

解决方案 #

1. 确保托管身份权限配置正确 #

给Runbook的托管身份（系统分配/用户分配）添加以下权限：

• 目标存储账户所在订阅的Reader权限（用于定位存储账户资源）
• 目标存储账户的Storage File Data SMB Share Reader（SMB共享）或Storage File Data NFS Share Reader（NFS共享）权限（用于读取文件内容）

2. 修改脚本，明确指定存储账户上下文 #

无需依赖Set-AzContext切换订阅，直接获取目标存储账户对象并传入上下文参数：

try{ 
    Write-Output "获取文件"
    # 获取目标存储账户（替换占位符为实际值）
    $storageAccount = Get-AzStorageAccount -SubscriptionId "存储账户订阅ID" `
                                           -ResourceGroupName "存储账户资源组名" `
                                           -Name "存储账户名"
    # 传入存储账户上下文执行下载
    Get-AzStorageFileContent -ShareName "文件共享名" `
                            -Path "目标文件路径" `
                            -Context $storageAccount.Context
}
catch{
    Write-Output "无法获取文件"
    Write-Warning $_.Exception.Message
    break
}

关键说明 #

• 之前能正常写入文件，大概率是因为写入操作时明确指定了存储账户上下文，而下载时未指定，导致命令无法识别目标存储账户。
• Set-AzSubscription已被Set-AzContext替代，但切换订阅上下文并非解决问题的关键，核心是让Get-AzStorageFileContent明确知道要操作哪个存储账户。

内容的提问来源于stack exchange，提问作者Lewkir