如何仅授权访问Azure存储的指定单个容器？

方案1：容器级共享访问签名（SAS） #

这是改动最小的方案，不需要调整现有Spring Boot业务逻辑，仅修改配置即可：

• 进入Azure门户对应存储账户的test1容器配置页，找到「共享访问令牌」功能，仅勾选上传所需的添加、写入、创建权限，设置合理的过期时间后，生成容器专属的SAS连接字符串。
• 将环境变量中原存储账户全权限连接字符串，替换为上述生成的容器级SAS连接字符串即可。该SAS仅对test1容器有效，无法访问同账户下其他容器。

方案2：Azure AD RBAC授权（生产环境推荐） #

该方案无需在配置中存储任何密钥类敏感信息，安全性更高：

• 为你的Spring Boot应用分配身份凭证：若应用部署在Azure服务（如App Service、AKS、虚拟机）上，直接开启系统托管身份即可；若部署在非Azure环境，可注册独立的Azure AD服务主体获取凭证。
• 在test1容器的访问控制（IAM）配置中，为上述应用身份仅授予存储 Blob 数据参与者角色，授权范围限定为当前容器，不要选择整个存储账户。
• Spring Boot项目引入azure-spring-boot-starter-storage依赖，配置中仅需指定存储账户名称，SDK会自动读取环境中的身份凭证完成鉴权，无需配置连接字符串或访问密钥。

以上两种方案均满足最小权限原则，应用仅能访问指定的test1容器，无法操作同存储账户下的其他容器资源。

内容的提问来源于stack exchange，提问作者Yogendra