带锁定不可变策略的容器为何在Azure门户可删但PowerShell无法删除

• Azure存储服务对配置了锁定状态不可变策略的容器有特殊拦截逻辑：普通容器删除请求会被直接拒绝，返回409错误；只有请求显式携带专用标识时，服务才会进一步校验容器是否符合删除条件（无任何Blob/快照/软删除版本、无生效法定保留、时间保留策略已到期等），校验通过才会执行删除。
• Azure门户发起删除操作时，后台会自动在请求里带上这个专用标识，所以你清空容器满足删除要求后，门户操作可以成功。
• 你执行的原生Remove-AzStorageContainer -Name $containerName -Force命令默认不会携带这个专用标识，服务收到请求后检测到容器带锁定不可变策略就直接拦截，根本不进入后续的删除资格校验流程，所以必然报错。

首先明确规则：不存在任何可以绕过不可变策略强制删除容器的方法，所有合法删除必须先满足三个前置条件：

• 容器内没有任何Blob对象，包括软删除Blob、Blob快照、历史版本、未提交的块文件，这类残留对象必须先永久清除
• 容器没有配置生效的法定保留（Legal Hold）
• 如果配置了基于时间的保留策略，所有规则要求的保留时长已到期

满足前置条件后，可以通过以下方式实现自动化删除：

方案1：使用高版本Az.Storage PowerShell模块 #

将Az.Storage模块升级到5.3.0及以上版本，执行删除时带上对应参数，显式触发锁定策略容器的删除校验流程：

# 升级模块
Update-Module -Name Az.Storage -MinimumVersion 5.3.0 -Force
# 执行删除，替换为实际的容器名和存储上下文
Remove-AzStorageContainer -Name $containerName -Context $storageContext -Force

如果执行后仍报409，说明当前模块版本还没适配对应请求头，直接用方案2的REST API调用即可，没有版本兼容问题。

方案2：直接调用Azure存储REST API #

调用Delete Container接口时，手动添加请求头x-ms-allow-container-delete-with-locked-immutability-policy: true即可，这个就是Azure门户后台使用的标识，不受SDK、CLI、PowerShell模块的版本限制，最适合集成到自动化脚本、CI/CD流水线中。核心请求格式如下：

DELETE https://<存储账户名>.blob.core.windows.net/<容器名>?rest-version=2021-06-08
x-ms-allow-container-delete-with-locked-immutability-policy: true
Authorization: <对应授权令牌，支持存储密钥、Azure AD令牌授权>

方案3：使用高版本Azure CLI #

将Azure CLI升级到2.45.0及以上版本，执行删除命令时带上空容器校验参数即可：

az storage container delete --account-name <存储账户名> --name <容器名> --only-if-empty

注意：自动化执行前建议先加一步检查逻辑，确认容器内没有残留的软删除对象，否则即使带了专用请求头也会删除失败。如果存储账户开启了容器软删除，上述操作会先将容器放入软删除状态，需要彻底释放空间的话，后续可以再调用永久删除接口清除软删除容器。

内容的提问来源于stack exchange，提问作者Youxu