如何通过Azure CLI为Data Lake Storage Gen2文件夹添加用户权限

你遇到的InvalidAccessControlList错误，核心原因是ACL格式不正确：给特定用户设置默认ACL时，不能直接用用户名/UPN，必须使用用户的Azure AD Object ID，并且遵循正确的ACL语法格式。

问题分析 #

你之前的命令-a "default:$user::rw-"里的$user如果是用户名或邮箱，不符合Data Lake Gen2的ACL规则——特定用户的ACL条目格式应该是：

default:user:<用户ObjectID>:<权限>

其中：

• default: 表示这是默认ACL（会继承给新创建的子目录/文件）
• user: 指定条目类型为用户
• <用户ObjectID> 必须是目标用户的Azure AD唯一标识符（不是用户名）
• <权限> 这里是rw-（参与者权限）

另外需要注意：az storage blob directory access set命令是覆盖式设置ACL，不是追加，所以必须包含所有需要保留的原有ACL规则，否则会丢失之前的配置。

解决步骤 #

1. 获取目标用户的Azure AD Object ID

用以下命令获取用户的Object ID（替换user@yourdomain.com为目标用户的UPN或邮箱）：

$userObjectId = az ad user show --id "user@yourdomain.com" --query id -o tsv

2. 构造完整的ACL字符串

结合你现有默认ACL（default:user::rw-,default:group::r-x,default:other::---），加上特定用户的条目，形成完整的ACL：

$fullAcl = "default:user::rw-,default:group::r-x,default:other::---,default:user:$userObjectId:rw-"

3. 执行ACL设置命令

用构造好的ACL字符串执行设置命令：

az storage blob directory access set -a $fullAcl -d $dirname -c $filesystemName --account-name $storageaccountname

额外注意事项 #

• 如果需要给用户设置直接访问当前目录的ACL（不是默认继承的），去掉default:前缀即可，格式为user:$userObjectId:rw-
• 执行命令的账号必须拥有Storage Blob Data Owner角色权限，否则无法修改ACL
• 可以用az storage blob directory access show命令验证设置后的ACL是否正确

内容的提问来源于stack exchange，提问作者Rik