Python中使用Azure AD下载Azure Storage存储数据问题咨询

• 检查存储账户 IAM 角色分配：你需要在存储账户（或目标容器/目录）的访问控制（IAM）界面，为注册的应用实体分配对应数据权限角色，比如存储 Blob 数据读取者、存储 Blob 数据贡献者。仅在应用注册的「API 权限」页配置权限不会生效，必须完成 IAM 角色绑定。
• 确认应用权限类型与授权状态：你当前使用的ClientSecretCredential走客户端凭证认证流，需要在应用注册的「API 权限」中添加 Azure Storage 的应用权限而非委托权限，添加完成后必须点击「授予租户管理员同意」，未完成同意的权限不会生效。另外你开启的隐式授权流（ID tokens）对当前认证场景无用，可以直接关闭。
• 验证存储账户网络配置：如果存储账户开启了网络访问限制，需要将运行代码的设备公网 IP 加入存储账户防火墙白名单，或开启「允许受信任的 Azure 服务访问该存储账户」开关。
• 校验凭证与路径有效性：
  • 确认使用的租户 ID、客户端 ID、客户端密钥未填写错误，且客户端密钥未过有效期
  • 代码中的容器名、目录路径、文件名大小写完全匹配存储端真实配置（Azure Data Lake Storage 路径大小写敏感）
  • 本地文件路径建议改为原始字符串格式r"C:\file-to-download.txt"，避免转义字符引发的本地写入异常
• 优化错误排查逻辑：修改异常捕获代码打印完整堆栈，可快速定位错误根因，示例：

import traceback
try:
    # 业务逻辑
except Exception as e:
    print(e)
    traceback.print_exc()

你可以优化代码结构避免全局变量依赖，使用上下文管理器自动释放资源：

from azure.identity import ClientSecretCredential
from azure.storage.filedatalake import DataLakeServiceClient

def initialize_storage_account_ad(storage_account_name, client_id, client_secret, tenant_id):
    credential = ClientSecretCredential(tenant_id, client_id, client_secret)
    return DataLakeServiceClient(
        account_url=f"https://{storage_account_name}.dfs.core.windows.net",
        credential=credential
    )

def download_file_from_directory(service_client, file_system_name, dir_path, remote_file_name, local_save_path):
    file_system_client = service_client.get_file_system_client(file_system=file_system_name)
    directory_client = file_system_client.get_directory_client(dir_path)
    file_client = directory_client.get_file_client(remote_file_name)
    
    with open(local_save_path, 'wb') as f:
        download_stream = file_client.download_file()
        f.write(download_stream.readall())

内容的提问来源于stack exchange，提问作者scythe