为何使用托管身份无法连接Azure Blob存储账户？

1 权限范围&操作匹配校验 #

• 确认你分配的Storage Blob Data Contributor角色的范围是存储账户层级及以上（资源组/订阅），如果角色仅分配到单个容器层级，没有列举所有容器的权限，会触发授权报错。
• 若存储账户启用了ADLS Gen2（分层命名空间），需额外验证托管身份是否被授予了对应容器的读取权限，分层命名空间模式下权限校验逻辑会更严格。
• 解析你获取到的托管身份token，校验aud（受众）字段是否为https://storage.azure.com，且token的权限声明中包含Microsoft.Storage/storageAccounts/blobServices/containers/read权限。

2 托管身份配置校验 #

• 如果你使用的是用户分配托管身份，需确认ManagedIdentityCredential初始化时传入了正确的托管身份client_id，构造参数为ManagedIdentityCredential(client_id="你的托管身份客户端ID")，未指定的情况下默认会获取AKS集群的系统分配托管身份，可能出现身份不匹配的问题。
• 若你使用的是AAD Pod Identity/Workload Identity方案，确认Pod对应的身份绑定配置没有错漏，selector和Pod的标签匹配无误。

3 存储账户网络配置校验 #

• 若存储账户启用了私有端点，确认AKS集群VPC和存储账户私有端点所在VPC已对等，且Pod内解析存储账户域名返回的是私有端点IP，而非公网IP。
• 确认你加白的是AKS集群的出站公网IP（NAT网关/节点公网IP），而非Pod的私有IP，即使临时加白0.0.0.0/0，也需要确认存储账户防火墙没有勾选「禁止公网访问」选项。

4 SDK兼容&参数校验 #

• 你使用的azure-storage-blob==12.8.1和azure-identity==1.5属于较老版本，存在身份验证逻辑的已知bug，可尝试升级到最新稳定版验证，升级命令：

pip install --upgrade azure-storage-blob azure-identity

• 初始化BlobServiceClient时可显式指定authentication_scope为https://storage.azure.com/.default，避免默认scope错误：

blob_service_client = BlobServiceClient(
    account_url=account_url, 
    credential=creds,
    authentication_scopes = ["https://storage.azure.com/.default"]
)

内容的提问来源于stack exchange，提问作者Boris