使用SAS写入Blob后能否生成新SAS链接及替代方案问询

问题1：使用SAS链接写入Blob后，能否生成新的SAS链接？ #

不能直接实现。生成Blob级别的SAS需要存储账户的共享密钥（sharedKey），或者持有包含Delegation权限的容器/账户级SAS。你当前持有的合作伙伴提供的SAS仅具备写入（Write）权限，没有委托生成新SAS的权限，因此无法用它来创建目标Blob的下载SAS。你之前尝试复用原SAS查询参数验证失败，核心原因就是原SAS的权限范围和类型不支持这类操作。

问题2：还有其他可行途径吗？ #

以下是几种可行的解决方案：

• 要求合作伙伴提供带Delegation权限的SAS：如果合作伙伴能提供包含委托权限的容器级或账户级SAS，你就可以用它生成目标Blob的下载SAS。
• 让合作伙伴配置容器存储访问策略：请合作伙伴在目标容器上创建存储访问策略（Stored Access Policy），并为该策略分配下载权限。之后你可基于此策略生成Blob SAS（需确保你持有的SAS能访问该策略）。
• 调用合作伙伴的服务获取SAS：Blob写入完成后，调用合作伙伴提供的内部API服务，由他们使用自己的sharedKey生成对应的下载SAS并返回给你。
• 切换为Azure AD身份验证：若合作伙伴的存储账户支持Azure AD访问，可请求他们为你的应用注册分配Storage Blob Data Contributor或Storage Blob Data Reader等Blob数据权限。通过Azure AD令牌认证后，你可操作Blob并生成SAS（需权限足够）。

内容的提问来源于stack exchange，提问作者KennetRunner