Azure存储Blob容器内各文件夹能否配置RBAC权限分配？

首先明确：无法直接为Blob容器内的虚拟文件夹配置RBAC权限。原因很简单——Azure Blob存储里的“文件夹”本质是通过Blob名称前缀模拟的虚拟结构，并非独立的Azure资源实体，而RBAC的权限分配范围只能是存储账户、容器、单个Blob这类层级的资源，虚拟目录不在RBAC的作用范围内，所以你在门户里找不到针对嵌套文件夹配置RBAC的入口是正常的。

如果需要给不同虚拟文件夹设置不同权限，有几个可行的替代方案：

• 使用带前缀限制的SAS令牌：生成SAS时指定Blob前缀（比如container/folder/），这样该SAS只能访问这个前缀下的所有Blob，实现类似文件夹级的访问控制。
• 借助ADLS Gen2的ACL（访问控制列表）：如果你的存储账户启用了分层命名空间（即ADLS Gen2），虚拟目录会成为实际的层级资源，这时可以给目录设置POSIX风格的ACL，实现细粒度的读、写、执行权限控制，这是目前针对文件夹级权限最直接的方案。
• 拆分容器：如果业务逻辑允许，把原来的虚拟文件夹拆成独立的容器，然后给每个容器单独配置RBAC权限，这种方式最符合RBAC的设计逻辑，管理起来也更清晰。

另外补充一点：ADLS Gen2里，RBAC依然不能直接作用于目录，但ACL可以和RBAC配合使用——RBAC负责授予高等级的权限范围，ACL负责在目录/文件层面做更精细的限制。

内容的提问来源于stack exchange，提问作者Rohit Tatiya