使用最新Azure版本生成SAS URI时遇授权不匹配错误求助

核心原因：权限不足或身份验证方式冲突 #

调用GetUserDelegationKey生成用户委托密钥属于数据平面操作，需要特定权限支持，且身份验证逻辑需匹配规范。

1. 必须具备的权限 #

当前身份（用户/托管标识）需拥有存储账户数据平面的Microsoft.Storage/storageAccounts/blobServices/generateUserDelegationKey/action权限，可通过以下方式授予：

• 分配内置角色：存储Blob数据所有者或存储Blob数据贡献者（注意：存储账户管理员等管理平面角色不生效）
• 创建自定义角色，明确包含上述权限动作

2. 身份验证方式修正 #

你的代码中BlobContainerClient同时使用了连接字符串和DefaultAzureCredential，这会导致身份验证逻辑冲突：

• 若要生成基于Azure AD身份的用户委托SAS，应使用存储账户Blob服务URL + DefaultAzureCredential初始化客户端，而非连接字符串：

// 正确初始化方式
this.container = new BlobContainerClient(
    new Uri("https://<你的存储账户名>.blob.core.windows.net/<容器名>"), 
    new DefaultAzureCredential());

• 连接字符串属于共享密钥身份验证，与用户委托密钥的Azure AD身份验证逻辑不兼容，会直接触发授权不匹配错误。

3. 环境身份验证检查 #

• 本地调试：确保登录Azure CLI/Visual Studio/VS Code的Azure账户已被授予对应权限，且订阅、存储账户上下文正确
• 生产环境：确认托管标识（VM/App Service等）已在存储账户的IAM设置中分配了正确角色

4. 验证步骤 #

• 登录Azure Portal，进入存储账户的「访问控制(IAM)」页面，检查目标身份的角色分配
• 本地运行az storage account show --name <存储账户名> --resource-group <资源组名>，确认当前账户能正常访问该存储账户

内容的提问来源于stack exchange，提问作者user3192672