Azure Storage Python SDK get_container_access_policy调用失败求助

核心原因 #

用ClientSecretCredential认证时，对应的Azure AD应用服务主体没有足够的权限读取容器访问策略。而连接字符串使用的是存储账户密钥，拥有该账户的全量操作权限，所以能正常调用接口。

另外，get_container_properties这类接口所需的RBAC权限和get_container_access_policy不同——前者只需要读取容器基本属性的权限，而后者需要明确的容器权限管理/读取权限。

可行解决办法 #

1. 给AD应用分配正确的RBAC角色 #

在Azure门户中操作：

• 进入目标存储账户，切换到**访问控制（IAM）**页面
• 点击添加 → 添加角色分配
• 在角色列表中选择以下任一角色（按需选择最小权限）：
  • Storage Blob Data Contributor：拥有容器和Blob的读写权限，包含访问策略读取
  • Storage Blob Container Reader：仅允许读取容器属性、元数据和访问策略
• 分配对象选择用户、组或服务主体，搜索你的AD应用的Client ID，完成分配

2. 验证权限是否生效 #

可以用Azure CLI执行命令，确认服务主体已获得对应权限：

az role assignment list --assignee <你的Client ID> --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.Storage/storageAccounts/<存储账户名>/blobServices/default/containers/<容器名>"

3. 检查容器名称的大小写一致性 #

Azure存储容器名称要求全小写，虽然部分接口对大小写不敏感，但get_container_access_policy可能严格匹配。确保代码中传入的容器名称和实际容器名称完全一致（全小写）。

4. 指定SDK的API版本（可选） #

如果是SDK默认API版本和存储账户兼容问题，可以在创建BlobServiceClient时显式指定api_version参数：

blob_client = BlobServiceClient(
    account_url=account_url,
    credential=credential,
    api_version="2023-11-03" # 替换为当前支持的最新API版本
)

内容的提问来源于stack exchange，提问作者Comp_sc_student