使用Postman带AAD Token调用Get/Set Container ACL接口报ResourceNotFound错误

1. 基础请求参数校验 #

• 确认请求URL格式符合要求，标准格式为https://<存储账户名>.blob.core.windows.net/<容器名>?restype=container&comp=acl&api-version=<API版本号>，必须同时携带restype=container、comp=acl、合法的api-version三个查询参数，缺省任意一个都会返回资源不存在错误
• 确认存储账户名、容器名拼写完全正确，名称大小写敏感，且对应容器确实在目标存储账户下处于正常状态
• 确认请求方法匹配接口要求：Get Container ACL使用GET请求方法，Set Container ACL使用PUT请求方法，方法使用错误会触发该报错
• 确认存储账户未启用禁止公网访问配置，你当前发起请求的客户端IP已被加入存储账户防火墙的允许访问列表

2. AAD身份认证校验 #

• 确认你申请AAD Token时使用的scope为https://storage.azure.com/.default，错误的scope会导致鉴权逻辑异常，进而返回资源不存在错误
• 可解析Token内容校验有效性：确认Token的exp过期时间晚于当前请求时间，aud受众字段值为https://storage.azure.com或目标存储账户的完整域名
• 确认Token对应的AAD身份（用户、服务主体、托管标识）与目标存储账户属于同一Azure AD租户

3. 权限配置校验 #

• 读取/修改容器ACL需要对应AAD身份被分配至少存储Blob数据所有者或存储账户参与者角色，普通的存储Blob数据贡献者角色没有操作容器ACL的权限
• 确认权限分配的范围覆盖目标存储账户或对应容器，若仅在更高层级（资源组、订阅）分配权限但存在继承阻断，也会导致权限失效
• 若存储账户配置了Azure AD条件访问策略，确认当前请求上下文满足策略要求，未被条件访问拦截

4. 辅助排查手段 #

• 可先使用存储账户共享密钥作为认证方式调用相同接口，确认接口本身可正常返回，排除容器状态异常等底层问题
• 在Azure门户中查看存储账户的活动日志，筛选对应请求的RequestId，可查看更详细的失败原因描述

内容的提问来源于stack exchange，提问作者Sumit Sawant