Azure Function（Linux消耗计划）使用系统身份部署存储账户失败问题

一、必填应用设置 #

除了AzureWebJobsStorage__accountName:[SA_NAME]，必须添加以下配置：

• AzureWebJobsStorage__credential:managedidentity：强制指定使用托管身份完成AzureWebJobsStorage的认证
• FUNCTIONS_WORKER_RUNTIME:python：明确Python运行时（确保与你的3.9版本匹配）

如果使用runFromPackage部署方式，额外注意：
Linux消耗计划不支持WEBSITE_RUN_FROM_PACKAGE:1，必须使用存储包的可访问URL。由于托管身份模式下部署工具无法自动更新该URL，需手动配置：

1. 将部署包上传到目标存储账户的容器（如$web）
2. 生成包的SAS URL（授予读权限，设置合理有效期）
3. 在应用设置中固定WEBSITE_RUN_FROM_PACKAGE:[SAS_URL]，避免部署时自动覆盖

二、部署方式优化 #

针对Azure DevOps的AzureFunctionApp@1任务，推荐优先使用zip部署：

• 在任务配置中设置deploymentMethod: zipDeploy，无需配置WEBSITE_RUN_FROM_PACKAGE
• 这种方式直接将包上传到函数应用的文件系统，绕过存储账户URL依赖问题，避免托管身份导致的部署工具权限异常

如果坚持使用runFromPackage，需在Azure DevOps管道中手动指定包的SAS URL，禁止部署工具自动调整该设置。

三、代码调整说明 #

基础Python HTTPTrigger函数无需修改任何代码。托管身份的认证逻辑由Azure Functions Runtime自动处理，与业务代码完全解耦。只要应用设置和权限配置正确，Runtime会自动使用系统身份访问AzureWebJobsStorage。

四、权限最小化建议 #

已分配的Blob Owner和SA Contributor权限可以简化为：

• Storage Blob Data Contributor：满足AzureWebJobsStorage的blob读写需求
• 如果使用runFromPackage部署，额外添加Storage Account Contributor用于包的上传操作

内容的提问来源于stack exchange，提问作者Samer Sh