Azure Linux VM每日向Blob存储传文件：身份配置及cron任务咨询

一、System-Assigned vs User-Assigned 身份选择与最佳实践 #

两种身份的核心差异 #

• System-Assigned（系统分配）身份

  • 是VM自带的专属身份，启用后与VM生命周期绑定，删除VM时身份自动销毁
  • 单VM仅能拥有一个系统分配身份，权限直接关联该VM
  • 优势：配置零额外成本，无需单独维护身份资源，适合单VM单任务场景
  • 局限：无法跨VM共享，后续扩展多VM执行相同任务时需重复配置权限

• User-Assigned（用户分配）身份

  • 是独立创建的身份资源，可同时分配给多台VM或其他Azure资源
  • 身份生命周期独立于VM，删除VM不会影响身份本身
  • 优势：适合多VM共享同一权限策略的场景，便于统一管理权限，后续扩展更灵活
  • 局限：需额外创建和维护身份资源，配置步骤稍多

最佳实践建议 #

如果只是当前这一台VM执行复制任务，选System-Assigned身份足够，配置简单且无需额外管理。如果未来可能有其他VM也要执行类似的Blob复制操作，或者需要统一调整Blob容器访问权限，则优先选User-Assigned身份，长期维护效率更高。

二、身份配置与授权验证步骤 #

不管选哪种身份，都需要完成以下两步核心配置：

1. 启用身份

   • 系统分配：在Azure门户VM的「身份」选项卡，开启「系统分配」开关，记录生成的对象ID
   • 用户分配：先在Azure门户创建用户分配身份，再回到VM的「身份」选项卡，添加该身份到VM

2. 分配Blob存储权限
   进入目标Blob存储容器的「访问控制（IAM）」页面，添加角色分配：

   • 推荐角色：存储Blob数据参与者（满足文件上传、修改等核心操作需求）
   • 身份选择：系统分配选VM名称，用户分配选创建的身份名称

3. 授权验证
   在VM上执行以下命令测试权限是否生效：

   # 用身份登录Azure CLI
   az login --identity
   # 测试列出Blob容器内容
   az storage blob list --container-name <你的容器名> --account-name <存储账户名>
   # 用AzCopy测试单个文件上传
   azcopy copy "/tmp/test.txt" "https://<存储账户名>.blob.core.windows.net/<容器名>/test.txt" --recursive=false
   

三、配置每日Cron定时复制任务 #

1. 创建复制脚本
   在VM上创建脚本文件（示例路径：/home/azureuser/blob_copy.sh），内容如下：

   #!/bin/bash
   # 静默登录身份
   az login --identity > /dev/null 2>&1
   # 复制/tmp下所有文件到Blob容器（--overwrite=ifNewer仅覆盖更新的文件，可按需调整）
   azcopy copy "/tmp/*" "https://<存储账户名>.blob.core.windows.net/<容器名>/tmp_daily_backup/" --recursive=true --overwrite=ifNewer
   # 记录执行日志
   echo "[$(date '+%Y-%m-%d %H:%M:%S')] 复制任务执行完成" >> /var/log/blob_copy.log
   

   给脚本添加执行权限：

   chmod +x /home/azureuser/blob_copy.sh
   

2. 配置Cron任务
   执行crontab -e打开Cron编辑器，添加以下行（示例为每天凌晨2点执行任务，可按需调整时间）：

   0 2 * * * /home/azureuser/blob_copy.sh
   

   保存退出后，Cron会自动加载该任务。

3. 任务验证

   • 查看当前Cron任务列表：crontab -l
   • 手动执行脚本测试：/home/azureuser/blob_copy.sh，检查Blob容器是否有文件上传，同时查看日志文件/var/log/blob_copy.log确认执行状态

内容的提问来源于stack exchange，提问作者bizimunda