同一Azure存储账户下文件共享间复制文件遇认证错误求助

问题分析 #

你遇到的CannotVerifyCopySource错误，本质是源文件的授权信息无法被服务端验证，常见原因包括：SAS令牌权限不足、有效期过期、IP限制不匹配、URL转义错误，或者没必要地使用SAS进行同一账户内复制（反而增加出错概率）。

最优解决方案：利用Azure AD身份或账户密钥实现服务端复制 #

同一存储账户内的文件复制，优先使用服务端复制（无需下载再上传），且可以直接通过Azure AD登录身份或账户密钥授权，避免SAS的复杂配置：

方案1：使用AzCopy（推荐） #

已通过az login登录Azure账号后，直接执行以下命令（无需SAS令牌）：

azcopy copy "https://mystorageaccount.file.core.windows.net/x/mydir/myfile.dmp" "https://mystorageaccount.file.core.windows.net/y/mydir/"

• 确保你的Azure AD账号拥有该存储账户的Storage File Data Contributor或更高权限。
• 如果需要复制整个目录，添加--recursive参数。

方案2：使用Azure CLI命令 #

方式A：用Azure AD身份授权（已az login）

az storage file copy start \
  --source-uri "https://mystorageaccount.file.core.windows.net/x/mydir/myfile.dmp" \
  --destination-path "mydir" \
  --destination-share "y" \
  --account-name "mystorageaccount" \
  --auth-mode login

方式B：用存储账户密钥授权

az storage file copy start \
  --source-uri "https://mystorageaccount.file.core.windows.net/x/mydir/myfile.dmp" \
  --destination-path "mydir" \
  --destination-share "y" \
  --account-name "mystorageaccount" \
  --account-key "your-storage-account-key"

（替换your-storage-account-key为存储账户的Key1或Key2）

若坚持使用SAS的排查与修正 #

如果必须用SAS，需确保以下几点：

1. 权限匹配：
   • 源文件的SAS需至少包含读取权限（r）
   • 目标共享的SAS需至少包含写入权限（w）
2. 有效期与时区：确认SAS的st（起始时间）和se（过期时间）为UTC时区，且当前时间在该范围内。
3. IP限制：sip参数指定的IP必须是执行命令机器的公网IP（可通过curl ifconfig.me查看），避免代理/NAT导致的IP不匹配。
4. 正确生成SAS：用Azure CLI自动生成，避免手动拼接出错：
   • 生成源文件SAS：

     az storage file generate-sas \
       --account-name mystorageaccount \
       --share-name x \
       --path mydir/myfile.dmp \
       --permissions r \
       --expiry "2022-08-18T15:00:00Z" \
       --ip "your-public-ip" \
       --https-only
     

   • 生成目标共享SAS：

     az storage share generate-sas \
       --account-name mystorageaccount \
       --name y \
       --permissions w \
       --expiry "2022-08-18T15:00:00Z" \
       --ip "your-public-ip" \
       --https-only
     

   将生成的SAS分别拼接到源和目标URL后，确保命令中没有多余的转义字符（如"需替换为实际的双引号）。

内容的提问来源于stack exchange，提问作者Matrix