如何覆盖Databricks拒绝分配，以访问其托管存储容器？

问题根源 #

你遇到的错误是因为Azure Databricks为托管工作区资源自动创建了系统级拒绝分配（Deny Assignment），这个规则会优先拦截所有直接操作托管存储账户的请求——哪怕你是订阅所有者，权限也会被这个拒绝规则覆盖。

解决方案 #

方法1：通过Databricks工作区访问（推荐，符合安全设计）

• 登录你的Databricks工作区，进入左侧导航栏的数据模块
• 在数据页面找到关联的托管存储账户，直接在Databricks界面内完成容器或数据的操作，无需通过Azure门户跳转

方法2：在Azure门户中添加带排除拒绝分配的角色权限（学习场景可用）

• 登录Azure门户，定位到目标托管存储账户
• 进入访问控制（IAM）页面，点击添加 → 添加角色分配
• 选择存储账户参与者或所有者角色，指定你的用户账户为被分配者
• 切换到高级选项卡，勾选排除拒绝分配（该设置会让你的角色权限优先级高于Databricks的系统拒绝规则）
• 保存配置，等待5-10分钟让权限生效后，重新尝试访问存储容器

方法3：用命令行工具配置权限

使用Azure CLI：

# 先登录订阅
az login
# 分配所有者权限并排除拒绝分配
az role assignment create --assignee "your-email@domain.com" --role "Owner" --scope "/subscriptions/[你的订阅ID]/resourceGroups/[资源组名称]/providers/Microsoft.Storage/storageAccounts/[存储账户名称]" --deny-assignment-exclude true

使用PowerShell：

# 登录Azure账户
Connect-AzAccount
# 分配所有者权限并排除拒绝分配
New-AzRoleAssignment -SignInName "your-email@domain.com" -RoleDefinitionName "Owner" -Scope "/subscriptions/[你的订阅ID]/resourceGroups/[资源组名称]/providers/Microsoft.Storage/storageAccounts/[存储账户名称]" -ExcludeDenyAssignments $true

注意事项 #

• 系统拒绝分配是Databricks保护托管资源的默认机制，修改或绕过它可能带来安全风险，测试完成后建议恢复默认配置
• 生产环境下，严禁绕过该规则，必须通过Databricks工作区界面操作托管存储资源

内容的提问来源于stack exchange，提问作者Chris Snow