使用Azure AD在单页应用中访问Azure Storage表格实体出现权限不匹配问题

你遇到的权限不匹配问题是两个常见配置错误共同导致的：管理平面与数据平面RBAC角色混淆、存储权限作用域配置错误，可按以下步骤排查修复：

1. 修正RBAC角色分配 #

Azure存储的权限分为两套完全独立的体系：

• 管理平面权限：用于管理存储账户的配置、查询存储下的表/容器列表，常见的「存储账户参与者」「读者」都属于管理平面角色，仅能完成列表查询操作，无法访问表内实体、Blob内容等数据资源
• 数据平面权限：用于访问存储内的实际数据，你需要为当前登录的Azure AD用户分配对应数据平面角色：
  • 只读表数据：分配存储表数据读取者角色
  • 读写表数据：分配存储表数据参与者角色
  • 若还需要操作Blob资源，对应分配存储Blob数据读取者/存储Blob数据参与者角色

角色分配可在存储账户的「访问控制(IAM)」页面操作，分配后需要等待5分钟左右权限生效。

2. 修正存储权限作用域配置 #

你之前尝试的Microsoft.Storage是错误的作用域格式，Azure存储的委托权限作用域正确写法为https://storage.azure.com/user_impersonation，也可以限定到当前存储账户使用https://<你的存储账户名>.table.core.windows.net/user_impersonation。

修正后的代码示例 #

import { InteractiveBrowserCredential } from '@azure/identity';
import { TableClient } from '@azure/data-tables';

// 正确的存储权限作用域
const storageScopes = ["https://storage.azure.com/user_impersonation"];

const credentials = new InteractiveBrowserCredential({
  clientId: myAuthConfig.clientId,
  tenantId: myAuthConfig.tenantId,
});

// 先完成存储权限的认证再发起数据请求
credentials.authenticate(storageScopes).then(() => {
  const tableClient = new TableClient(
    `https://${myAuthConfig.storageAccountName}.table.core.windows.net`,
    '<替换为你的表名>',
    credentials
  );
  tableClient.listEntities().byPage().next()
    .then(console.log)
    .catch(console.error);
});

内容的提问来源于stack exchange，提问作者QuinnF