Azure存储帐户生命周期策略管理IAM权限及权限排查咨询

所需核心权限 #

• 生命周期策略的创建/修改/删除：需要管理平面权限，如Storage Account Contributor、Owner，这类权限用于操作存储帐户的管理规则。
• 策略执行时的Blob层迁移：需要数据平面权限，如Storage Blob Data Contributor或Storage Blob Data Owner，负责实际对Blob数据进行访问层移动操作。

你的生产环境问题排查 #

测试环境中你同时拥有Owner（覆盖管理平面）和Storage Blob Data Contributor（数据平面），所以策略能正常触发执行。针对生产环境的异常，优先排查以下几点：

1. 策略生效延迟：Azure生命周期策略的执行周期最长可达24小时，确认是否已等待足够时间让策略触发。
2. Blob规则匹配：检查生产环境的Blob是否完全符合策略的筛选条件（如Blob类型、创建时长、最后访问时间等），可能测试环境的Blob满足规则，但生产环境的Blob不满足。
3. 权限范围验证：确认Storage Blob Data Owner权限的分配范围是否覆盖了目标存储帐户或Blob容器，避免权限仅分配到资源组层级而未覆盖具体存储资源。
4. 存储帐户配置差异：检查生产存储帐户是否启用了分层命名空间（ADLS Gen2），部分策略逻辑在该模式下有差异；同时确认是否存在资源锁、防火墙规则限制了策略的后台执行。

权限包含关系说明 #

Storage Account Contributor属于管理平面权限，仅负责存储帐户的管理类操作（如创建生命周期策略、修改帐户配置），不包含Storage Blob Data Contributor这类数据平面权限。两者分属不同权限体系，管理平面权限无法直接操作Blob数据。

你在生产环境拥有的Storage Blob Data Owner权限等级高于Storage Blob Data Contributor，理论上具备执行Blob层迁移的权限，因此无需额外添加Storage Blob Data Contributor，优先排查上述策略执行相关的问题即可。

内容的提问来源于stack exchange，提问作者mac