Postman中Azure存储AuthorizationPermissionMismatch错误排查求助

以下是针对该问题的排查和解决步骤：

1. 确认角色分配的范围与对象正确性 #

• 检查Storage Blob Data Contributor角色是否直接分配到目标存储账户级别（而非订阅或资源组，父级范围虽生效，但存储账户级别更精准，可减少延迟或匹配问题）
• 验证角色分配的对象是当前使用的服务主体，避免误分配到其他应用或用户

2. 检查令牌的受众（Audience）是否匹配 #

调用令牌生成接口时，resource参数需与存储服务的期望受众一致：

• 对于Blob存储REST API，可使用两种有效值：
  • https://storage.azure.com（全局存储资源标识符）
  • https://<storageaccname>.blob.core.windows.net（目标存储账户的Blob端点）
• 解码生成的JWT令牌，查看aud字段是否与上述值匹配。若不匹配，重新生成令牌时指定正确的resource参数

3. 等待角色分配生效 #

Azure RBAC角色分配存在延迟，最长可能需要15-30分钟才能完全生效。若刚完成分配就测试，请等待一段时间后重试

4. 验证请求的Authorization头格式 #

调用Blob存储API时，必须在请求头中正确携带令牌：

Authorization: Bearer <你的JWT令牌>

确保Bearer后有空格，令牌无截断或拼写错误

5. 检查存储账户的Azure AD身份验证配置 #

确认目标存储账户已启用Azure AD身份验证访问Blob服务：

• 进入Azure门户 -> 目标存储账户 -> 「安全性 + 网络」-> 「Azure AD身份验证」-> 「Blob服务」，确认状态为「启用」

6. 排查权限冲突 #

检查服务主体的所有角色分配，确保没有被分配拒绝类型的角色（如Storage Blob Data Reader Deny），此类角色会覆盖允许权限

辅助验证命令 #

使用Azure CLI确认角色分配是否正确：

az role assignment list --assignee <你的服务主体client-id> --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Storage/storageAccounts/<存储账户名>"

查看输出中是否包含Storage Blob Data Contributor角色的记录

内容的提问来源于stack exchange，提问作者Lisa