Azure Storage Blob权限不匹配求助：已配置RBAC角色仍报错

背景信息 #

已创建Azure存储账户，当前用户继承自订阅的RBAC角色包括：

• Contributor：授予管理所有资源的完全访问权限，但不允许在Azure RBAC中分配角色、管理Azure蓝图中的分配或共享映像库（订阅级继承）
• Storage Blob Data Contributor：允许对Azure Storage Blob容器和数据进行读写及删除访问（订阅级继承）
• Storage Blob Data Owner：允许对Azure Storage Blob容器和数据进行完全访问，包括分配POSIX访问控制（订阅级继承）
• Storage Blob Data Reader：允许对Azure Storage Blob容器和数据进行只读访问（订阅级继承）

完成应用注册并生成Client Secret后，执行操作时触发以下错误：

azure.core.exceptions.HttpResponseError: This request is not authorized to perform this operation using this permission.

ErrorCode:AuthorizationPermissionMismatch
Error:None

排查与解决步骤 #

1. 给应用注册（服务主体）分配RBAC权限
   你当前的RBAC角色是用户账号的权限，应用注册作为独立的服务主体，需要单独分配权限，两者权限不共享：

   • 进入Azure门户的目标存储账户，打开「访问控制(IAM)」页面
   • 点击「添加」→「添加角色分配」
   • 选择与操作匹配的角色（如操作Blob数据选Storage Blob Data Contributor，修改存储账户配置选Contributor）
   • 在「成员」选项中选择你的应用注册（服务主体），完成权限分配

2. 等待权限生效
   Azure RBAC权限分配后通常需要5-15分钟才能全局生效，不要立即测试，等待足够时间后重试操作

3. 匹配操作与对应权限
   确认你执行的具体操作所需的权限类型：

   • 若操作是修改存储账户本身的配置（如调整冗余策略、设置防火墙），需给应用分配资源级或订阅级的Contributor角色
   • 若操作是Blob数据的读写删，需分配Storage Blob Data Contributor或更高阶的数据角色

4. 验证服务主体权限
   用Azure CLI命令确认服务主体已获分配权限：

   az role assignment list --assignee <你的应用Client ID> --scope <存储账户的资源ID>
   

   检查输出结果，确保包含你需要的角色权限

内容的提问来源于stack exchange，提问作者bonijad383