使用SAS令牌枚举Blob容器时遇403授权资源类型不匹配错误

问题场景 #

基于.NET Core 6开发Web和桌面应用套件的Azure Blob Storage封装组件，使用Azure.Storage.Blobs 12.14.1版本。调用获取容器列表接口时触发403权限异常，但创建、删除容器的操作能正常执行。

代码示例 #

public BlobContainerItem[] GetContainers(string sasToken)
{
 blobUri = "https://spiffyaccountname.blob.core.windows.net?" + sasToken;

 var client = new BlobServiceClient(blobUri);
 var containers = client.GetBlobContainers(); // 执行成功！
 var array = containers.ToArray();            // 触发Azure.RequestFailedException异常
 return array;
}

注：原代码中array()应为.ToArray()，此处保留异常触发点说明。

异常详情 #

Azure.RequestFailedException: This request is not authorized to perform this operation using this resource type.
RequestId:...
Time:...
Status: 403 (This request is not authorized to perform this operation using this resource type.)
ErrorCode: AuthorizationResourceTypeMismatch

根因分析 #

错误码AuthorizationResourceTypeMismatch明确指向SAS令牌的资源类型权限不匹配：

• 创建、删除容器属于容器级操作，当前SAS令牌具备容器级权限；但枚举所有容器是存储账户级操作，需要SAS令牌包含账户级的资源类型权限。
• 你当前使用的SAS令牌大概率仅配置了容器（c）级资源类型，缺少账户（s）级权限，导致无法执行账户级的容器枚举操作。

解决步骤 #

1. 调整SAS令牌的资源类型配置 #

生成SAS令牌时，必须包含**服务（Service）**类型的权限：

• 若通过Azure Portal生成账户SAS：进入存储账户的「共享访问签名」页面，在「资源类型」区域勾选服务选项，同时确保「权限」中勾选列出。
• 若通过代码生成SAS：使用AccountSasBuilder时，设置ResourceTypes = AccountSasResourceTypes.Service，并指定Permissions = AccountSasPermissions.List。

2. 测试验证 #

用新生成的SAS令牌替换原令牌，重新调用接口，此时GetBlobContainers().ToArray()应该能正常返回容器列表。

注意事项 #

• 容器级SAS仅能操作指定容器，无法枚举账户下所有容器；只有账户级SAS支持这类账户级操作。
• 遵循最小权限原则：仅赋予必要的服务资源类型和列出权限，避免过度授权。

内容的提问来源于stack exchange，提问作者amber