Postman创建Azure存储账户报AuthorizationFailed权限错误如何解决

报错的核心原因是你调用API时使用的身份是你创建的服务主体（Service Principal），而非你登录Azure Portal的个人账号，你个人账号持有的全局管理员、订阅所有者权限不会自动继承给服务主体。当前服务主体没有被授予目标范围下存储账户的读写操作权限，因此触发AuthorizationFailed错误。
另外你当前获取Access Token的参数写法存在v1/v2端点混用的兼容问题，也可能加剧鉴权异常。

• 给服务主体分配对应范围的RBAC角色
  1. 进入Azure Portal，导航到你要创建存储账户的目标订阅（如果要做权限最小化，直接进入目标资源组即可）
  2. 打开「访问控制(IAM)」面板，选择「添加角色分配」
  3. 角色选择「存储账户参与者」（测试场景也可直接选「参与者」，生产环境遵循最小权限原则配置）
  4. 成员选择类型勾选「服务主体」，搜索你之前创建的服务主体名称，选中后完成分配
  5. RBAC角色分配通常有30-120秒的生效延迟，不要刚分配完就立刻发请求
• 修正Token获取逻辑
  你当前使用的是Azure AD v2.0令牌端点，但传的resource参数是v1端点的规范，v2端点需要传scope参数，正确的表单请求参数如下：

  POST https://login.microsoftonline.com/<替换为你的租户ID>/oauth2/v2.0/token
  Content-Type: application/x-www-form-urlencoded
  
  client_id=<替换为服务主体的客户端ID>
  &client_secret=<替换为服务主体的客户端密钥>
  &grant_type=client_credentials
  &scope=https://management.azure.com/.default
  

• 调整创建存储账户的请求配置
  1. 你当前使用的API版本2018-02-01过旧，建议替换为稳定版API版本，例如2023-01-01
  2. PUT请求必须携带合规的请求体，必填参数包括存储账户所在区域、SKU、账户类型，示例请求体如下：

  {
    "sku": {
      "name": "Standard_LRS"
    },
    "kind": "StorageV2",
    "location": "chinaeast2"
  }
  

  3. 确认请求路径里的订阅ID、资源组名称无拼写错误，存储账户名称符合3-24位小写字母+数字、全局唯一的命名规则。

拿到新的Access Token后，可本地解码JWT的Payload部分，确认两个字段：

• oid字段值和报错信息里返回的客户端对象ID一致，确认拿到的是目标服务主体的令牌
• roles字段包含存储账户操作相关的权限声明，确认RBAC权限已经生效到令牌里

内容的提问来源于stack exchange，提问作者user3394