Azure Data Storage文件上传授权失败：Contributor角色权限不足？

问题描述 #

按照官方文档示例，使用.NET代码上传文件到Azure Blob存储时触发授权错误。

代码示例 #

using Azure.Storage.Blobs;
using Azure.Storage.Blobs.Models;
using System;
using System.IO;
using Azure.Identity;

// TODO: Replace <storage-account-name> with your actual storage account name
var blobServiceClient = new BlobServiceClient(
        new Uri("https://[some azure storage]"),
        new DefaultAzureCredential());

// Set container name
string containerName = "data";

// Get container
BlobContainerClient containerClient = blobServiceClient.GetBlobContainerClient(containerName);

// Create a local file in the ./data/ directory for uploading and downloading
string localPath = "data";
Directory.CreateDirectory(localPath);
string fileName = "testupload" + Guid.NewGuid().ToString() + ".txt";
string localFilePath = Path.Combine(localPath, fileName);

// Write text to the file
await File.WriteAllTextAsync(localFilePath, "Hello, World!");

// Get a reference to a blob
BlobClient blobClient = containerClient.GetBlobClient(fileName);

Console.WriteLine("Uploading to Blob storage as blob:\n\t {0}\n", blobClient.Uri);

// Upload data from the local file
await blobClient.UploadAsync(localFilePath, true);

错误信息 #

Azure.RequestFailedException: 'This request is not authorized to perform this operation using this permission.

用户疑问 #

已拥有Contributor角色（描述为授予管理所有资源的完全访问权限），但仍无法完成上传，疑惑该角色是否不足以执行此操作？

问题原因与解决办法 #

• Contributor角色不覆盖Blob数据操作：Contributor是Azure资源管理层面的角色，仅允许管理存储账户本身（如创建、删除存储账户），但不具备对存储账户内Blob数据的读写权限。Azure存储的数据操作权限需要专门的存储RBAC角色。
• 分配正确的存储数据角色：为你的身份分配Storage Blob Data Contributor角色，该角色允许对Blob容器和Blob进行读写操作。
• 确认角色分配范围：确保角色分配的范围包含目标存储账户、容器或具体Blob，建议直接分配到存储账户级别，避免仅在资源组级别分配导致的权限覆盖不全。
• 等待角色生效：Azure RBAC角色分配通常需要1-5分钟才能生效，刚完成分配后请等待片刻再测试代码。
• 验证身份上下文：确认DefaultAzureCredential使用的身份（如本地开发时的Azure CLI/Visual Studio登录账户）确实被分配了上述角色，避免使用未授权的身份发起请求。

内容的提问来源于stack exchange，提问作者rcs