Logic App连接存储账户失败 提示不支持AAD身份验证如何解决

使用Bicep代码创建对接Azure Blob存储的Logic App连接资源时，执行抛出异常。
初始创建连接的Bicep代码如下：

resource blobConnector 'Microsoft.Web/connections@2018-07-01-preview' = {
  name: 'apic-d365-azureblob12345'
  location: Location
  kind: 'V2'
  properties: {
    alternativeParameterValues: {}
    api: {
      id: 'subscriptions/${subscription().subscriptionId}/providers/Microsoft.Web/locations/${Location}/managedApis/azureblob'
    }
    customParameterValues: {}
    displayName: 'azureblob'
    parameterValueSet: {
      name: 'managedIdentityAuth'
      values: {}
    }
  }
}

同步配置的RBAC角色分配代码如下：

resource blobcontributorroleassignment 'Microsoft.Authorization/roleAssignments@2020-10-01-preview' = {
  name: guid(resourceGroup().id, logicappsite.id, blobcontributorroledefination.id)
  properties: {
    roleDefinitionId: blobcontributorroledefination.id
    principalType: 'ServicePrincipal'
    principalId: logicappsite.identity.principalId
  }
}

部署时返回的错误信息：

"error": "'Operation not supported with AAD authentication, use Azure Storage Account name/key connection instead"

配置存在核心遗漏，触发了误导性报错，并非Azure Blob连接真的不支持AAD/托管身份认证：

• 托管身份认证的参数集配置缺失必填参数：managedIdentityAuth认证模式下，parameterValueSet.values不能传空对象，必须显式指定要对接的目标存储账户名，否则服务端无法识别认证目标，直接抛出不支持AAD认证的错误。
• RBAC角色分配范围不明确：现有角色分配未显式指定scope属性，默认继承部署所在的资源组范围，若目标存储账户不在同资源组、或权限继承被阻断，会导致托管身份无存储操作权限，加剧连接异常。
• 未校验Logic App托管身份配置：代码中直接引用logicappsite.identity.principalId，若Logic App资源未提前开启系统分配托管身份，该字段为空会直接导致角色分配、连接认证全部失效。

• 补全Blob连接的必填参数，在parameterValueSet.values中传入目标存储账户名，修正后的连接资源代码如下：

// 提前引用目标存储账户
resource targetStorageAccount 'Microsoft.Storage/storageAccounts@2023-01-01' existing = {
  name: '<替换为实际目标存储账户名称>'
}

resource blobConnector 'Microsoft.Web/connections@2018-07-01-preview' = {
  name: 'apic-d365-azureblob12345'
  location: Location
  kind: 'V2'
  properties: {
    alternativeParameterValues: {}
    api: {
      id: 'subscriptions/${subscription().subscriptionId}/providers/Microsoft.Web/locations/${Location}/managedApis/azureblob'
    }
    customParameterValues: {}
    displayName: 'azureblob'
    parameterValueSet: {
      name: 'managedIdentityAuth'
      values: {
        // 补全必填的存储账户名参数
        accountName: {
          value: targetStorageAccount.name
        }
      }
    }
  }
}

• 修正RBAC角色分配的作用域，显式将角色分配绑定到目标存储账户范围，同时确保Logic App开启系统分配托管身份：

// Logic App系统托管身份配置示例
resource logicappsite 'Microsoft.Web/sites@2022-03-01' = {
  name: '<替换为实际Logic App名称>'
  location: Location
  identity: {
    type: 'SystemAssigned' // 必须开启，否则principalId字段为空
  }
  // 其余Logic App业务配置省略
}

// 引用内置存储Blob数据贡献者角色
resource blobcontributorroledefination 'Microsoft.Authorization/roleDefinitions@2022-04-01' existing = {
  name: 'ba92f5b4-2d11-453d-a403-e96b0029c9fe' // 存储Blob数据贡献者内置角色固定ID
}

resource blobcontributorroleassignment 'Microsoft.Authorization/roleAssignments@2020-10-01-preview' = {
  name: guid(targetStorageAccount.id, logicappsite.id, blobcontributorroledefination.id)
  scope: targetStorageAccount // 显式指定角色分配范围为目标存储账户
  properties: {
    roleDefinitionId: blobcontributorroledefination.id
    principalType: 'ServicePrincipal'
    principalId: logicappsite.identity.principalId
  }
}

• 若使用隔离云环境、或存储账户为禁用AAD认证的特殊SKU，可切换为访问密钥认证模式，将连接的parameterValueSet替换为如下配置即可：

parameterValueSet: {
  name: 'keyAuthentication'
  values: {
    accountName: {
      value: targetStorageAccount.name
    }
    accessKey: {
      value: targetStorageAccount.listKeys().keys[0].value
    }
  }
}

内容的提问来源于stack exchange，提问作者ramesh reddy