Azure APIM备份报错：backupContainerName参数请求无操作权限

问题场景 #

通过Azure自动化Runbook，使用用户分配托管标识对同区域部署的APIM服务执行备份操作，已完成两项前置配置：

• 为该用户分配托管标识授予存储账户Storage Account Contributor角色权限
• 在美国东部2区域将APIM控制面板IP地址20.44.72.3加入存储账户访问白名单
  完成配置后执行备份操作返回错误。

报错返回内容 #

Body:
{
  "error": {
    "code": "InvalidParameters",
    "message": "Invalid parameter: This request is not authorized to perform this operation.\r\nParameter name: backupContainerName (value: [apimbackup])",
    "details": null,
    "innerError": null
  }
}

执行使用的PowerShell脚本 #

$AzureContext = (Connect-AzAccount -Identity -AccountId XXXX-e9f9-XXXX-ad22-95f821a2c9bc).context

# set and store context
$AzureContext = Set-AzContext -SubscriptionName $AzureContext.Subscription -DefaultProfile $AzureContext

$storageKey = (Get-AzStorageAccountKey -ResourceGroupName "rg-nau2d-XXXX-01" -StorageAccountName "stornau2dXXXXXX")[0].Value
$storageContext = New-AzStorageContext -StorageAccountName "stornau2dXXXXXX" -StorageAccountKey $storageKey

$storageKey
$StorageContext
$resourceGroupName="rg-nau2d-XXXX-01";
$apiManagementName="apim-01";
$containerName="apimbackup";
$backupName= $apiManagementName +"blob1";
$clientId = "XXXX-e9f9-XXXX-ad22-95f821a2c9bc"
Backup-AzApiManagement -Debug -ResourceGroupName $resourceGroupName -Name $apiManagementName -StorageContext $storageContext -TargetContainerName $containerName -TargetBlobName $backupName -AccessType "UserAssignedManagedIdentity" -IdentityClientId  $clientId -PassThru

错误产生原因 #

• 认证方式参数冲突：创建存储上下文时使用存储账户密钥做认证，同时调用备份命令时指定-AccessType "UserAssignedManagedIdentity"参数，两种认证逻辑互斥。传入存储密钥时，备份命令会将密钥传递给APIM服务侧，APIM会优先尝试密钥认证，忽略传入的托管标识参数，和指定的访问类型不匹配，直接触发参数校验阶段的授权错误。
• 数据平面权限缺失：Storage Account Contributor是Azure管理平面角色，仅支持管理存储账户的配置项，不包含Blob数据平面的读写权限，APIM备份需要对目标容器具备Blob级别的操作权限，仅分配管理平面角色无法满足操作要求。
• 存储防火墙配置不全：美国东部2区域的APIM控制平面出站IP不止20.44.72.3一个，仅添加单个IP会导致部分控制平面请求被拦截；若未开启受信任服务访问例外，APIM作为受信任Microsoft服务的访问请求也会被防火墙拦截。
• 目标容器未提前创建：APIM备份操作不会自动创建目标Blob容器，如果存储账户中不存在名为apimbackup的容器，会直接抛出容器操作无权限的参数错误。

对应解决方案 #

• 修正存储上下文创建逻辑：移除存储密钥相关代码，创建存储上下文时不传入密钥参数，后续由APIM服务侧使用托管标识完成存储访问认证，修改对应代码为：

  # 移除获取存储密钥、传入密钥创建上下文的逻辑，替换为以下内容
  $storageContext = New-AzStorageContext -StorageAccountName "stornau2dXXXXXX"
  

• 补全权限配置：为使用的用户分配托管标识，在目标存储账户或apimbackup容器范围上分配Storage Blob Data Contributor角色，分配完成后等待5-10分钟待权限全局生效后再执行操作。
• 修正存储账户防火墙配置：
  • 补全美国东部2区域所有APIM控制平面出站IP到存储账户允许白名单
  • 勾选存储账户网络配置中的允许受信任服务列表中的Azure服务访问此存储账户选项，放行APIM服务的受信任访问请求
• 提前创建目标容器：在存储账户中手动创建名为apimbackup的Blob容器，确认容器名全小写、无特殊字符，访问层级设置为私有即可。
• 前置校验：确认APIM服务和目标存储账户部署在同一Azure区域、同一Azure AD租户下，跨区域、跨租户场景下托管标识备份会出现授权异常。

内容的提问来源于stack exchange，提问作者satish