Azure Blob Storage现有容器调用API修改Encryption Scope不生效问题

核心结论 #

Azure Blob Storage 不支持修改已创建完成的容器的默认Encryption Scope配置，该属性仅允许在容器创建时指定，后续无法通过任何管理API、SDK或Portal操作修改，该限制在Azure官方加密范围文档的容器配置小节有明确说明。

异常表现原因 #

你遇到的API返回200但配置未生效的情况是Azure资源管理接口的通用设计：对于不支持修改的资源属性，Update请求会直接忽略该属性的传入值，不会返回错误响应，所以会出现请求成功但配置无变更的现象。你也可以直接登录Azure Portal打开存量容器的属性页，会发现默认加密范围字段为灰色不可编辑状态，可直接验证该限制。

可行替代方案 #

如果需要将存量容器的加密范围切换为目标配置，可按以下流程操作：

• 新建一个容器，创建时指定目标Encryption Scope及denyEncryptionScopeOverride配置，参数和你创建新容器时的正确代码一致
• 使用Azure Blob拷贝能力（可选用AzCopy工具、Storage SDK或者Azure Data Factory）将原容器内的所有Blob、版本、快照数据完整拷贝到新容器，拷贝过程中新写入的Blob会自动应用新容器的默认加密范围
• 同步迁移原容器的访问权限、生命周期管理规则、CORS配置等其他自定义配置到新容器
• 验证数据和配置无误后，可将业务流量切换到新容器，按需删除原容器

内容的提问来源于stack exchange，提问作者Michal