Azure Blob Storage可创建删除容器但无法列出读取Blob问题咨询

• 首先明确Azure存储账户的两类操作权限边界：
  • 控制平面操作：对应ARM层面的管理动作，包括创建/删除容器、修改存储账户配置、查询存储账户密钥等，你当前账号持有的Contributor角色默认包含这类权限，这就是你的代码可以正常执行容器创建、删除操作的核心原因。
  • 数据平面操作：对应直接访问存储内数据的动作，包括列出Blob、读取/写入/删除Blob内容等，Contributor角色默认不包含任何数据平面操作权限，哪怕你是订阅级别的Contributor，也无法直接通过AAD身份认证完成Blob数据操作，你遇到的AuthorizationPermissionMismatch错误就是这类权限缺失的典型报错，和SDK版本、插件版本无关。
• 解释VS Code插件操作正常的原因：VS Code Azure Storage插件检测到当前AAD身份无数据平面权限时，会自动调用控制平面的listKeys接口获取存储账户访问密钥，用密钥完成数据操作鉴权，绕开了AAD身份的数据平面权限校验，因此插件内操作不受影响。但你当前代码用DefaultAzureCredential走纯AAD身份鉴权，没有自动拉取密钥的逻辑，就会触发权限报错。
• 快速验证方法：给当前登录的用户账号在目标存储账户范围临时分配Storage Blob Data Contributor角色，等待1-5分钟权限生效后重新运行代码，如果Blob列表、读取操作恢复正常，即可确认根因为数据平面权限缺失。

• 生产环境推荐方案（符合最小权限原则）：给代码使用的身份（本地调试时是你的个人账号，线上运行时是服务主体/托管标识）按需分配对应范围的数据平面内置角色：
  • 仅需读取Blob内容、列出Blob：分配Storage Blob Data Reader角色
  • 需要Blob的增删改查全权限：分配Storage Blob Data Contributor角色
    授权范围可以按需选择整个存储账户、指定容器、甚至指定Blob路径，避免过度授权。
• 本地临时调试方案：如果不想额外配置数据平面权限，可以直接用存储账户连接字符串/访问密钥初始化客户端，和VS Code插件的鉴权逻辑一致，无需走AAD数据平面权限校验，示例代码：

from azure.storage.blob import BlobServiceClient
# 连接字符串可在存储账户门户的「访问密钥」页面获取
blob_service_client = BlobServiceClient.from_connection_string("<你的存储账户连接字符串>")

• 已分配数据平面角色仍报错的排查点：
  • Azure RBAC角色分配存在最多5分钟的生效延迟，等待后重试即可
  • 检查目标存储账户、资源组、订阅范围是否存在拒绝分配（Deny assignment）策略，拦截了当前身份的Blob数据操作
  • 确认授权范围和你代码访问的资源范围匹配，比如你只给某个容器分配了权限，就不要在代码里直接列整个存储账户的所有容器下的Blob

内容的提问来源于stack exchange，提问作者GRW