通过Service Principal在Data Factory访问Azure Data Lake授权失败求助

核心权限逻辑 #

ADLS Gen2采用RBAC+ACL双层校验机制：

1. 所有访问请求优先校验数据层面RBAC权限，若持有Storage Blob Data Contributor/Storage Blob Data Owner这类高阶数据RBAC，会直接绕过ACL校验通过
2. 若未持有高阶数据RBAC，请求才会进入ACL校验环节，但前提是必须先持有最低限度的允许访问存储数据平面的RBAC权限，否则请求会直接被拦截，触发未授权报错

具体配置步骤 #

• 给对应AD组配置最小必要的基础数据RBAC权限：仅读需求选Storage Blob Data Reader，读写需求选Storage Blob Data Contributor，权限范围可限定到目标容器级别，不需要覆盖整个存储账户
• 确认Service Principal已成功加入AD组：AD组成员身份生效存在最长15分钟的延迟，刚添加完成建议等待后再测试
• 配置ADLS路径ACL：
  • 所有目标路径的父级目录（从容器根目录到目标路径的上一级目录），必须给AD组授予*执行（X）*权限，用于目录遍历
  • 目标访问的目录/文件，给AD组授予对应所需的读/写权限
  • 若需要后续新建的子对象自动继承权限，同步配置默认ACL即可
• 验证ADF链接服务配置：认证方式选择Service Principal，确认租户ID、客户端ID、客户端密钥填写无误，测试连接时选中配置了权限的目标路径校验

常见错误排查 #

• 不要仅配置ACL而忽略基础数据RBAC配置，这是触发未授权报错的最常见原因
• 不要遗漏父级目录的执行权限，即使子路径有全量权限，没有父目录执行权限也无法完成路径遍历
• 不要使用管理层面的RBAC（如订阅/资源组级别的Contributor、Owner），这类权限不覆盖存储数据平面访问权限，必须选择带Blob Data前缀的数据类RBAC

内容的提问来源于stack exchange，提问作者Dmuk