私有Blob存储提交JobInputHttp未带SAS密钥访问拒绝问题咨询

结论 #

JobInputHttp 类型的作业输入必须在URL中携带SAS密钥才能访问私有Azure Blob存储内容，无法通过媒体服务关联的用户托管标识完成鉴权，这是产品设计的既定规则。

原因说明 #

• JobInputHttp 设计目标为对接公开可访问的HTTP/HTTPS资源，其内部请求链路不会调用媒体服务配置的用户托管身份向Azure存储发起鉴权请求，即使你已经为托管标识分配了存储账户的对应访问权限，该身份也不会在JobInputHttp的资源拉取流程中生效，因此会返回访问拒绝错误。
• 你配置的用户托管标识的适用场景为媒体服务自有资源的访问，包括自建资产关联的存储读写、作业输出存储访问、客户管理密钥访问等，不覆盖外部HTTP源的拉取链路。

无SAS的替代实现方案 #

如果希望避免使用SAS密钥，可以调整作业输入类型为JobInputAsset：

1. 先将私有Blob容器中的目标内容关联为媒体服务的资产（Asset）
2. 资产关联存储时直接使用你已完成授权的用户托管标识
3. 提交作业时直接选择对应资产作为输入，媒体服务会自动调用托管标识完成存储访问，无需额外配置SAS。

内容的提问来源于stack exchange，提问作者DaGs