私有容器下AzCopy Sync命令访问密钥失效、SAS密钥正常的原因排查

这个问题的核心是你传递访问密钥的方式不正确，导致AzCopy没有正确使用访问密钥完成身份验证，反而触发了匿名访问的逻辑，而你的存储账户已经禁用了公共访问，所以抛出PublicAccessNotPermitted错误。

具体原因拆解： #

• 当你把访问密钥放在URL的?sv=KEY参数中时，AzCopy会将其误认为是SAS令牌的一部分，但账户访问密钥≠SAS令牌：
  • SAS令牌是包含sv（服务版本）、sr（资源类型）、sig（签名）等多个参数的完整授权字符串，AzCopy能识别这种格式并完成身份验证，所以用SAS时能正常工作。
  • 而你直接把账户访问密钥填到sv参数里，AzCopy无法识别这是有效的身份凭证，会默认尝试匿名访问Blob容器，此时因为你的存储账户禁用了公共访问，就会返回409错误。
• 当Blob设为公共状态时，匿名访问被允许，所以即使身份验证逻辑出错，请求也能成功，但这并不是访问密钥在起作用，而是公共访问机制在生效。

正确的访问密钥使用方式 #

使用AzCopy sync时，访问密钥需要通过--account-key参数单独传递，而不是拼接在URL中。示例命令如下：

# 从本地同步到Blob容器
azcopy sync "/local/path/to/files" "https://mystorage.blob.core.windows.net/container" --account-key "你的账户访问密钥"

# 从Blob容器同步到本地
azcopy sync "https://mystorage.blob.core.windows.net/container" "/local/path/to/files" --account-key "你的账户访问密钥"

这样AzCopy会正确使用账户访问密钥进行身份验证，结合你的虚拟机在允许的虚拟网络内的配置，就能正常完成同步操作了。

内容的提问来源于stack exchange，提问作者Blue Clouds