AKS Pod通过Azure翻译服务访问私有Blob存储时权限验证失败求助

嘿，我帮你分析下这个权限问题的排查方向，你遇到的这个错误是翻译服务没法访问私有Blob的典型场景，咱们一步步来梳理可能的问题点：

首先先明确你的场景：你从AKS Pod里调用Azure翻译服务，翻译服务需要访问一个私有访问级别的Blob存储文件，已经配置了翻译服务到Blob的专用端点，也添加了角色分配，但还是收到权限验证失败的错误，具体错误信息如下：

{'id': 'xxxx-5d1b-4e20-8002-xxx', 'createdDateTimeUtc':
'2024-10-10T09:02:52.0829033Z', 'lastActionDateTimeUtc':
'2024-10-10T09:02:54.0855904Z', 'status': 'ValidationFailed', 'error':
{'code': 'InvalidRequest', 'message': 'Cannot access target document
location with the current permissions.', 'target': 'Operation',
'innerError': {'code': 'InvalidTargetDocumentAccessLevel', 'message':
'Cannot access target document location with the current
permissions.'}}, 'summary': {'total': 0, 'failed': 0, 'success': 0,
'inProgress': 0 , 'notYetStarted': 0, 'cancelled': 0,
'totalCharacterCharged': 0}}

一、先盯紧角色分配的细节——这是最常见的坑 #

• 你把Blob权限角色分配给Azure翻译服务的系统托管标识了吗？很多人会不小心分配给AKS的服务主体或者自己的用户账号，这完全没用，翻译服务是用自己的标识去访问Blob的。
• 别用错角色！一定要分配Storage Blob Data Reader（只读够的话）或者Storage Blob Data Contributor，那些像Storage Account Contributor的管理类角色，对Blob的实际数据访问是没有权限的。
• 检查角色的分配范围：最好直接指定到目标Blob容器，甚至具体的Blob文件，范围太宽（比如整个订阅）可能会有延迟，太窄的话自然访问不到。

二、专用端点的流量路径要走对 #

• 确认Blob存储的专用端点和翻译服务在同一个VNet，或者VNet之间已经对等互联了，而且翻译服务的出站流量确实是通过专用端点访问Blob，而不是绕去公网——毕竟你的Blob是私有访问级别，公网请求直接就被挡了。
• 看Blob存储的防火墙规则：是不是设置了仅允许专用网络访问，并且把翻译服务所在的VNet/子网加进允许列表里了？如果防火墙只放行了特定子网，翻译服务不在里面肯定访问失败。

三、调用翻译服务的请求参数别踩坑 #

• 你给翻译服务的Blob URL用的是专用端点的内部域名吗？比如https://<你的存储账户名>.privatelink.blob.core.windows.net/<容器名>/<Blob名>，要是还用公网域名，哪怕有专用端点，流量也可能走公网被拦截。
• 有些批量翻译的API需要显式指定用托管标识访问Blob，你是不是漏了这个参数？比如在请求体里加上"storageSource": "AzureBlob", "identity": {"source": "SystemAssigned"}这类配置？

四、给角色分配一点“生效时间” #

• Azure的RBAC角色分配有时候会有10-15分钟的延迟，如果你刚配置完就急着测试，可能权限还没生效，不如等个十几分钟再试一次。

五、直接模拟翻译服务的标识去测Blob访问 #

• 可以用Azure CLI模拟翻译服务的托管标识来访问Blob，验证权限是否真的生效：

  # 先获取翻译服务的系统托管标识ID
  az cognitiveservices account show --name <翻译服务名称> --resource-group <资源组名称> --query identity.principalId -o tsv
  
  # 用这个标识登录（需要你有Azure AD的管理权限）
  az login --service-principal --username <上面拿到的principalId> --password <标识的客户端密钥> --tenant <你的租户ID>
  
  # 尝试访问目标Blob
  az storage blob show --account-name <存储账户名> --container-name <容器名> --name <Blob名>
  

如果这个测试也失败，那肯定是角色分配的问题；如果成功了，那大概率是翻译服务的API调用参数或者专用端点的流量路径有问题。

备注：内容来源于stack exchange，提问作者gayatri