作为Azure订阅服务管理员，访问存储账户容器遇认证错误求助

问题描述 #

作为订阅服务管理员，配置Azure Blob存储时，通过Azure AD用户账户访问容器出现认证错误，已分配目标存储账户的Storage Blob Data Owner角色但问题仍未解决。

排查与解决步骤 #

• 确认角色分配作用域：检查Storage Blob Data Owner角色是否直接分配在目标存储账户或具体容器层级，而非仅订阅/资源组层级。可在Azure门户的存储账户→「访问控制(IAM)」→「角色分配」中搜索自身账户，验证作用域精准度。
• 等待权限生效：Azure RBAC角色分配需5-15分钟同步生效，刚完成分配就测试可能存在延迟，建议等待后重试。
• 清除认证缓存：
  • 使用Azure CLI时，执行az account clear清除本地缓存，再通过az login重新登录。
  • 使用Azure Portal时，退出账号后重新登录，或用隐私模式打开浏览器测试，规避浏览器缓存的旧权限数据。
• 检查存储账户AD认证配置：确认存储账户未禁用Azure AD认证，在存储账户→「配置」中验证相关设置，确保允许Azure AD用户访问Blob资源。
• 验证实际权限分配：
  • 执行Azure CLI命令查看角色分配详情：

    az role assignment list --assignee <你的用户邮箱> --scope /subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Storage/storageAccounts/<存储账户名>
    

  • 或在容器的「访问控制(IAM)」中直接检查自身角色分配记录。
• 排查条件访问策略：查看Azure AD的条件访问策略，确认是否存在针对存储账户的访问限制（如强制MFA、特定IP范围、设备合规要求等）导致认证失败。

内容的提问来源于stack exchange，提问作者Tony Visconti