Azure Data Factory访问私有存储账户被拒问题求助

目标：通过Azure Data Factory（ADF）运行私有Azure Blob容器中的exe文件，该exe需生成含当前时间的文本文件并上传回私有Blob容器。

环境配置：

• 已部署运行简易管道的ADF
• 配置为私有的Azure存储账户
• 关联存储账户的ADF链接服务
• 已启用的私有托管虚拟网络
• 关联Azure Batch的ADF链接服务
• 关联目标存储账户的Batch账户
• Batch账户下已创建运行池

关键背景：

• 存储账户设为公共访问时流程完全正常，可在Blob中找到生成的文本文件
• 存储账户设为私有访问时触发BlobAccessDenied权限错误
• ADF、Blob存储、Batch账户均已通过托管身份配置Blob存储的「参与者」/「所有者」角色

报错信息：

{
   "errorCategory":0,
   "code":"BlobAccessDenied",
   "message":"Access for one of the specified Azure Blob(s) is denied",
   "details":[
      {
         "Name":"BlobSource",
         "Value":"https://XXXXXXXXXXXXXXXXX/testv2.exe?sv=2018-03-28&sr=b&sig=XXXXXXXXXXXXXXXXXX&sp=r"
      },
      {
         "Name":"FilePath",
         "Value":"D:\\batch\\tasks\\workitems\\XXXXXXXXXXX\\job-1\\XXXXXXXXXXXXXXXXXXXXXXXX\\testv2.exe"
      }
   ]
}

1. 确认Batch托管身份的权限范围 #

• 进入存储账户的「访问控制（IAM）」，找到Batch账户的托管身份条目，验证角色的分配范围是否精准到目标Blob容器（而非仅整个存储账户），避免权限继承遗漏
• 确认角色包含Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read和Microsoft.Storage/storageAccounts/blobServices/containers/blobs/write核心权限（「参与者」角色已覆盖，但需确认无额外范围限制）

2. 检查ADF存储链接服务配置 #

• 进入ADF的存储链接服务，确认「身份验证方法」为托管身份，而非账户密钥或SAS
• 验证链接服务中填写的容器名称无拼写错误，且已启用「通过专用终结点连接」（因使用私有托管虚拟网络），专用终结点需正确关联存储账户的Blob服务

3. 修正Batch任务的Blob访问凭据 #

• 检查ADF中调用Batch的活动配置，确认选择托管身份作为Blob访问凭据，而非自动生成的SAS令牌（报错中的SAS可能因私有存储的防火墙/权限规则被拦截）
• 若使用自定义活动，确保活动的Blob访问配置明确指定托管身份，而非依赖默认的SAS授权

4. 验证网络连通性 #

• 确认Batch池已加入私有托管虚拟网络，且该VNet与存储账户的专用终结点处于同一网络或已建立对等连接
• 进入存储账户的「防火墙和虚拟网络」设置，确认已允许Batch所在的虚拟网络访问Blob服务
• 检查Batch池的出站网络规则，确保未限制对存储账户Blob服务的访问

5. 排查存储账户附加限制 #

• 若存储账户启用了Blob版本控制或软删除，需确认托管身份对版本Blob也拥有访问权限
• 检查目标容器的「访问策略」，确认未设置限制访问的SAS策略，避免覆盖托管身份的权限

6. 直接测试Batch托管身份权限 #

用Azure CLI验证Batch托管身份能否直接访问目标Blob：

# 获取Batch账户托管身份ID
batch_id=$(az batch account show --name <你的Batch账户名> --resource-group <资源组名> --query identity.principalId -o tsv)

# 测试读取Blob
az storage blob download --account-name <你的存储账户名> --container-name <容器名> --name testv2.exe --auth-mode login --identity $batch_id

# 测试写入Blob
az storage blob upload --account-name <你的存储账户名> --container-name <容器名> --file test-output.txt --name test-output.txt --auth-mode login --identity $batch_id

若测试失败，回到步骤1重新配置权限；若测试成功，则问题出在ADF活动的配置逻辑上，需重新核对活动的Blob访问参数。

内容的提问来源于stack exchange，提问作者tmsagora