如何通过API Management使用托管身份调用Table Storage？（遇403未授权）

以下是针对你遇到的403认证失败问题的具体解决步骤：

1. 修正托管身份的权限配置 #

确保APIM的托管身份被授予存储表数据读取者（如果是写入操作则用存储表数据参与者）角色，而非普通的「存储账户参与者」等管理类角色。Table Storage的数据操作需要专门的数据权限，管理权限无法直接访问表数据。

2. 调整策略中的resource参数 #

Table Storage的Azure AD令牌资源标识符需要指定具体的存储账户Table服务端点，而非通用的https://storage.azure.com/。修改authentication-managed-identity的resource值：

<authentication-managed-identity resource="https://<storage>.table.core.windows.net/" />

也可以使用全局Table服务的资源URI：https://table.core.windows.net/，但指定账户端点更精准。

3. 修正后端服务URL格式 #

你的后端URL中<table>()?$top=10的格式错误，查询Table实体时不需要加括号，正确的URL格式应为：

<set-backend-service base-url="https://<storage>.table.core.windows.net/<table>?$top=10" />

括号仅用于执行特定操作（如Insert、Merge）的OData请求场景。

4. 验证令牌的受众（Audience） #

如果以上步骤仍未解决，可解码获取到的JWT令牌，检查aud字段是否与你指定的resource值完全一致。若aud不匹配，Azure Table Storage会拒绝请求并返回403。

完成以上调整后，重新测试API调用即可正常访问Table Storage。

内容的提问来源于stack exchange，提问作者michasaucer