使用Az PowerShell向Azure存储队列发消息为何需ListKeys权限？

为什么Az模块需要ListKeys权限？ #

Az模块的Get-AzStorageQueue默认依赖存储账户密钥构建操作上下文，哪怕你的存储账户已经禁用密钥、且使用RBAC权限，该cmdlet仍会尝试调用Microsoft.Storage/storageAccounts/listKeys/action接口获取密钥——这是因为早期存储服务API以密钥验证为主，Az模块部分cmdlet的默认逻辑未完全适配纯RBAC场景。

而Azure CLI处理存储队列操作时，会自动优先使用当前登录的Azure AD令牌做身份验证，不需要依赖账户密钥，因此无需ListKeys权限就能正常操作。

解决方案：使用Azure AD身份验证的存储上下文 #

修改代码，明确创建基于Azure AD身份的存储上下文，跳过密钥获取步骤：

function azLoginWithServicePrincipal {
    $tid = "tenant-id-guid"
    $appId = "app-id-guid"
    $thumb = "cert-thumbprint"
    Connect-AzAccount -ServicePrincipal -TenantId $tid -CertificateThumbprint $thumb -ApplicationId $appId
}

function enqueueMessage {
    param([string]$rg, [string]$acc, [string]$queue, [object]$msg)
    
    # 使用当前已登录的Azure AD账户创建存储上下文，无需账户密钥
    $storageContext = New-AzStorageContext -StorageAccountName $acc -UseConnectedAccount
    $q = Get-AzStorageQueue -Name $queue -Context $storageContext
    
    # 构造队列消息并发送
    $jsonMsg = [Microsoft.Azure.Storage.Queue.CloudQueueMessage]::new(($msg | ConvertTo-Json -Compress))
    $q.CloudQueue.AddMessage($jsonMsg) # 同步调用，若需异步可保留AddMessageAsync并处理等待逻辑
}

azLoginWithServicePrincipal
$data = @{ data= "some-text-data"}
enqueueMessage -rg "my-rg" -acc "my-storage-account" -queue "my-queue-name" -msg $data

关键说明 #

• -UseConnectedAccount参数让New-AzStorageContext直接用当前Connect-AzAccount登录的身份生成Azure AD令牌，用于存储服务身份验证，完全绕过账户密钥。
• 确保服务主体已被授予存储队列数据参与者或存储队列数据发送者这类数据层面的RBAC权限（而非管理层面权限），这是Azure AD身份验证操作存储队列的必要条件。

内容的提问来源于stack exchange，提问作者baouss