通过Azure Synapse管道访问ADLS Gen2文件时出现授权错误

触发的两类报错分别对应ADLS Gen2访问链路两个不同阶段的故障：

• AuthorizationPermissionMismatch（HTTP 403）：请求已通过身份校验，服务端成功识别发起请求的主体，但该主体没有读取目标parquet文件的对应权限
• AuthenticationFailed（签名校验失败）：请求携带的授权凭证本身无效，服务端无法完成身份校验，常见诱因包括签名错误、密钥/令牌过期、授权头格式错误

1. 确认管道执行身份 #

Synapse管道调用Spark池笔记本时，默认不会使用登录Synapse Studio的个人账号身份，需先打开管道的Spark笔记本活动配置页，在「设置」板块找到身份配置项，记录当前选中的执行身份（通常为Synapse工作区托管标识，也可能是预配置的服务主体、存储密钥、SAS令牌），后续所有凭证、权限校验均围绕该身份开展。

2. 修复认证类错误 #

针对AuthenticationFailed报错，按使用的凭证类型逐一排查：

• 使用存储账户密钥认证：核对代码中填写的访问密钥，与存储账户「访问密钥」面板中的当前有效密钥完全一致，无多余空格、转义错误，确认密钥未在轮换后漏更新到笔记本配置
• 使用SAS令牌认证：检查SAS的生效、过期时间完全覆盖管道运行窗口，SAS权限已勾选「读取」，授权资源范围覆盖目标文件所在完整路径，未配置IP白名单拦截Synapse出口IP，SAS字符串拼接时不重复添加?前缀
• 使用托管标识/服务主体认证：检查代码中令牌获取逻辑，确认申请的是https://storage.azure.com/对应的存储资源访问令牌，无误用其他Azure服务的资源令牌导致签名不匹配的问题

3. 修复权限不足类错误 #

针对AuthorizationPermissionMismatch报错，按以下顺序排查：

• 检查存储账户网络配置：如果ADLS Gen2开启了防火墙，确认已开启「允许受信任的Microsoft服务访问此存储账户」选项，否则Synapse请求会被网络层拦截返回403
• 配置RBAC数据访问权限：给第一步确认的执行身份，在存储账户、对应容器、目标文件所在文件夹层级，分配存储Blob数据读取者角色，注意不要错配「存储账户参与者」这类管控面角色，这类角色不具备数据面读文件的权限
• 校验ACL权限：如果ADLS Gen2开启了分层命名空间，除RBAC外需单独配置POSIX ACL：确保执行身份从根容器到目标parquet文件所在的每一层文件夹都拥有**执行（X）权限，对目标parquet文件本身拥有读取（R）**权限；RBAC和ACL为并行校验逻辑，任意一项缺失都会触发权限报错
• 检查存储账户访问策略：确认存储账户未开启「仅允许密钥/SAS访问」限制，否则托管标识、服务主体这类AAD身份的请求会被直接拒绝

4. 验证修复效果 #

• 权限配置完成后等待1-2分钟让全局缓存生效，先在Synapse Studio中附着到管道使用的同一Spark池，直接运行笔记本读文件逻辑，排除代码本身问题
• 笔记本单独运行通过后，发布最新版本的笔记本和管道配置，再触发管道运行，不要使用历史缓存的旧版本笔记本快照

内容的提问来源于stack exchange，提问作者darkstar