Python创建Azure Data Lake Gen2文件系统提示未授权怎么解决

首先明确：使用存储账户密钥初始化DataLakeServiceClient时，本身就拥有存储账户的全部操作权限，包含创建文件系统（容器），不需要额外的认证配置。你遇到的本地运行正常、线上部署报错的问题，均为部署环境的配置差异导致，可按照以下步骤逐一排查：

1. 优先确认配置一致性 #

• 检查Azure Web App「配置」页中的STORAGE_ACCOUNT_KEY、STORAGE_ACCOUNT_NAME参数值，是否和本地使用的、存储账户「访问密钥」页中的值完全一致，没有多余的空格、换行、大小写错误
• 如果你原有上传文件功能使用的是另一套客户端配置，要确认两套配置对应的是同一个存储账户、使用的是同一组访问凭证
• 配置修改后必须重启Web App生效，再测试功能

2. 排查客户端初始化异常 #

如果配置确认无误，可能是全局SERVICE_CLIENT的初始化时机有问题：

• 在调用create_file_system的代码前增加日志，打印运行时service_client.account_url和密钥的前3位+后3位，确认运行时加载的配置和预期一致，避免出现配置未加载完成就初始化客户端的时序问题
• 可以临时在报错行前，用硬编码的有效存储账户名和密钥初始化一个新的DataLakeServiceClient测试创建操作，如果测试成功，即可确认是全局客户端初始化的问题

3. 排查存储账户访问限制 #

如果以上两步都确认正常，检查存储账户的访问策略：

• 检查存储账户的「网络」页，是否已经将Azure Web App的所有出站IP加入白名单，部分IP未加白可能出现随机请求拦截的情况
• 检查存储账户的「访问控制(IAM)」以及关联的Azure Policy，是否存在拒绝创建容器的自定义策略，这类拦截也会返回授权失败错误

内容的提问来源于stack exchange，提问作者Markus B