创建Azure队列存储触发器函数需要哪些权限？

报错直接原因是当前登录VS Code Azure扩展的账号，缺少目标存储账户的Microsoft.Storage/storageAccounts/listKeys/action操作权限。VS Code创建队列触发器的流程默认会尝试读取存储账户的访问密钥，自动生成函数的存储连接配置，你当前持有的权限属于数据平面操作权限，不覆盖这个管理平面操作，因此触发报错。

你当前持有的队列权限如下：

你当前持有的对应存储账户权限如下：

要完成队列触发器创建、并正常消费队列消息，需要分两个阶段配置对应权限：

1. 本地开发阶段（VS Code创建/调试函数） #

这部分权限分配给你登录VS Code的个人账号，属于管理平面权限：

• 最小权限方案：在目标存储账户范围，给账号分配存储账户密钥操作员服务角色，该角色仅包含Microsoft.Storage/storageAccounts/listKeys/action等密钥读取相关权限，不会授予多余的存储数据读写权限
• 无密钥权限替代方案：如果不想授予密钥读取权限，可以在创建触发器时跳过自动拉取连接配置的步骤，手动在项目的local.settings.json文件中填写提前准备好的存储连接字符串（支持账户密钥、SAS令牌、托管标识连接串格式），即可绕过列密钥的权限校验
• 注意：你当前已有的存储Blob/队列数据参与者、队列数据发送者等角色，都属于数据平面权限，仅支持读写队列内的消息，无法执行读取存储账户密钥这类管理操作，无法解决创建阶段的报错。

2. 函数运行阶段（消费队列消息） #

这部分权限分配给函数运行时使用的身份（连接串对应的身份、函数托管标识），属于数据平面权限：

• 最小权限要求：在目标队列范围，给函数运行身份分配存储队列数据参与者角色，该角色包含队列消息的拉取、处理、删除权限，完全满足队列触发器的运行需求
• 如果使用账户密钥/SAS连接字符串连接存储，不需要额外配置Azure RBAC权限，只要连接串本身具备队列读写权限即可
• 如果使用函数托管标识连接存储，不要给存储账户范围的所有者、参与者等高权限角色，遵循最小权限原则仅分配队列级别的数据操作权限即可。

• 在存储账户的访问控制(IAM)页，给你当前使用的个人账号分配「存储账户密钥操作员服务角色」，角色分配完成后在VS Code中登出Azure账号后重新登录，刷新权限缓存
• 重新执行队列触发器创建流程，即可解决列密钥的权限报错
• 函数部署到Azure后，给函数使用的托管标识在目标队列上分配「存储队列数据参与者」角色，即可正常消费队列消息

内容的提问来源于stack exchange，提问作者superDu