Azure学习沙箱Concierge目录无法启动Cloud Shell报403授权错误

故障根因 #

报错核心触发原因为Azure学习沙箱临时订阅的权限同步异常：沙箱激活时会为当前登录身份分配Concierge临时订阅的对应操作权限，当权限绑定出现延迟或错配时，Cloud Shell自动在cloud-shell-storage-centralindia资源组下创建存储账户的请求会被授权策略拦截，返回403错误。该问题属于沙箱侧权限分配故障，和本地浏览器缓存、资源提供程序状态、目录基础配置无直接关联。

已验证无效的排查操作 #

以下操作无法解决该类沙箱专属权限问题，无需重复尝试：

• 清除Chrome浏览器缓存、重新登录账号：仅能修复本地会话令牌过期类故障，对沙箱侧权限错配无效
• 检查资源提供程序注册状态：沙箱环境默认预注册所有Cloud Shell依赖的资源提供程序，无需手动检查注册
• 核对Concierge目录配置：目录配置错误通常返回「找不到订阅」类报错，和当前403授权失败报错特征不匹配

原始报错信息 #

Storage creation failed
Error: 403

{"error":{"code":"AuthorizationFailed","message":"The client 'live.com#<myemail>' with object id '91194b67-eaf4-****-****-c708e698****' does not have authorization to perform action 'Microsoft.Resources/subscriptions/resourcegroups/read' over scope '/subscriptions/0fb9d448-****-481e-8955-fe9e8c2d****/resourcegroups/cloud-shell-storage-centralindia' or the scope is invalid. If access was recently granted, please refresh your credentials."}}

Can't create a storage account. Please try again.

可落地修复方案 #

按优先级依次操作：

1. 重置沙箱环境
   回到对应Azure学习路径的沙箱激活页，点击重置沙箱按钮，等待1-2分钟让系统重新分配全新临时订阅、重新绑定身份权限。重置完成后不要切换目录或订阅，直接打开Cloud Shell，选择与沙箱匹配的Central India区域创建存储，不要手动切换其他区域。
2. 手动指定Cloud Shell部署资源
   重置沙箱后仍报错的，启动Cloud Shell时选择高级设置，跳过系统自动创建存储的流程，手动选择沙箱订阅下默认生成的learn-前缀资源组，在该资源组下新建存储账户与文件共享完成挂载。注意不要尝试手动为账号分配角色权限，沙箱环境为托管权限模式，手动赋权操作会被系统拦截。
3. 强制刷新目录会话
   打开Azure门户后点击右上角个人头像，选择切换目录，手动选中Concierge订阅对应目录，等待门户加载完成后按F5强制刷新全页面，再启动Cloud Shell。不要使用浏览器无痕/隐私模式访问沙箱，该模式下沙箱临时令牌容易出现跨域同步失败问题。

内容的提问来源于stack exchange，提问作者isntn