如何用用户分配托管身份替代Function App托管存储访问密钥

错误原因分析 #

Unable to load requested managed identity 错误的核心是：Function App 默认会尝试使用系统分配托管身份，但你配置的是用户分配托管身份，未明确指定要使用的身份标识，导致服务无法找到对应的托管身份资源。

具体修复步骤 #

• 添加身份标识配置项
  在Function App的应用设置中新增以下任一配置：

  • 配置键：AzureWebJobsStorage__clientId，值为你的用户分配托管身份的Client ID（可在Azure门户的托管身份详情页获取）
  • 配置键：AzureWebJobsStorage__identityId，值为你的用户分配托管身份的Resource ID

• 确认账户名配置正确性
  保留已配置的 AzureWebJobsStorage__accountName，确保值为托管存储账户的纯名称（不要包含.blob.core.windows.net这类后缀）

• 清理旧配置
  彻底删除原有的 AzureWebJobsStorage 配置项（即包含访问密钥的完整连接字符串），避免配置冲突

• 验证角色权限范围
  确认给用户分配托管身份授予的角色（Storage Account Contributor、Storage Blob Data Owner等）的作用范围是目标托管存储账户，确保权限直接绑定到该存储资源

• 重启Function App
  修改配置后必须重启Function App，确保新配置完全加载生效

额外注意事项 #

• 角色权限生效存在延迟：刚配置完角色后，可能需要等待5-15分钟让Azure权限系统完成同步，再进行测试
• 不要混用身份类型：如果使用用户分配托管身份，必须显式指定clientId或identityId，否则Function App会默认尝试使用系统分配身份，导致加载失败

内容的提问来源于stack exchange，提问作者Ershad Nozari