如何将Azure存储账号RBAC角色映射为等效ACL配置

前置条件 #

• 你使用的存储账户必须已启用分层命名空间（即ADLS Gen2存储账户），普通通用v2存储账户不支持Blob细粒度ACL配置，无法替代RBAC角色。

权限映射配置步骤 #

1. 映射Storage Blob Data Reader角色为ACL规则

该角色对应Blob访问权限，你需要给函数应用的托管标识配置两处容器的ACL：

• 触发用的目标Blob容器：
  • 容器层级ACL：勾选「读取(r)」「执行(x)」权限
  • 容器默认ACL：同样勾选「读取(r)」「执行(x)」权限，保证新上传的Blob自动继承权限
• 函数运行时依赖的azure-webjobs-hosts系统容器：
  • 配置和上面完全一致的读取、执行权限，保证函数运行时可以读写状态数据

2. 映射Storage Queue Data Contributor角色权限

目前Azure存储队列暂不支持自定义ACL规则，如果你需要完全移除该RBAC角色，可将Blob触发器切换为事件网格驱动模式：

• 在函数的host.json配置中，将Blob触发器的source参数设置为EventGrid
• 对应配置存储账户的事件网格订阅，将Blob创建事件路由到函数触发入口
• 该模式完全不依赖内部存储队列做状态跟踪，不需要队列相关的RBAC或ACL权限

验证 #

配置完成后移除之前配置的两个RBAC角色，上传测试Blob到目标容器，确认函数可以正常触发即可。

内容的提问来源于stack exchange，提问作者Matthew Holmes