如何从Azure CLI为Azure Batch任务添加应用包？遇BlobAccessDenied错误

我之前也碰到过一模一样的问题——明明应用包已经在Batch账户里激活了，可一用--application-package-references参数创建任务就弹出Blob访问拒绝。大概率是权限或者配置细节没踩对，咱们一步步来排查：

1. 先确认执行CLI的身份权限 #

不管你用的是个人用户账户还是服务主体，都得确保它能访问应用包所在的存储账户：

• 如果是个人用户，去存储账户的IAM页面，给你自己分配存储Blob数据读取者或者更高权限的角色（比如存储账户参与者）。毕竟应用包实际存在Batch关联的存储容器里，任务拉取包时需要读取Blob的权限，很多人只给了Batch账户权限，漏掉了这一步。
• 如果是服务主体，同样要给它分配上述存储Blob相关权限，别只局限在Batch账户的权限设置里。

2. 检查应用包引用的格式是否正确 #

Azure CLI对--application-package-references的格式要求很严格，必须是应用包名称#版本号的完整格式。比如你的testpackage如果激活的是1.0版本，命令得这么写：

az batch task create --job-id my-target-job --task-id new-test-task --command-line "your-execution-command" --application-package-references "testpackage#1.0"

哪怕只有一个激活版本，也不能省略版本号，不然CLI没法精准定位到对应的Blob文件。

3. 排查节点池的网络配置（如果用了用户订阅模式） #

如果你的Batch节点池是基于用户订阅创建的，还要检查节点和存储账户的网络连通性：

• 要是存储账户开了防火墙，得把节点所在的VNet或者公共IP加入存储账户的允许访问列表；
• 如果用了VNet集成，确保存储账户和节点池在同一个VNet（或者配置了VNet对等连接），并且存储账户的Microsoft.Storage服务端点已经启用。

4. 手动验证Blob访问权限 #

你可以先用同一个身份手动访问应用包的Blob，确认权限没问题：

# 先获取Batch账户关联的存储账户ID
az batch account show --name your-batch-account --resource-group your-rg --query "autoStorage.storageAccountId" -o tsv

# 列出存储账户里的应用包容器（通常名称是batch-application-packages开头）
az storage container list --account-name your-storage-account --query "[].name" -o tsv

# 尝试下载应用包Blob，验证权限
az storage blob download --container-name batch-application-packages-your-batch-account-testpackage --name testpackage/1.0/testpackage.zip --account-name your-storage-account

如果这一步也报错，那肯定是身份权限的问题，回到第一步调整IAM设置就行。

5. 再确认应用包的激活状态 #

虽然你说已经激活，但还是再核对一遍：

az batch application package show --application-name testpackage --version 1.0 --account-name your-batch-account --account-endpoint your-batch-account.region.batch.azure.com

确保输出里的state是active，而且format是正确的（比如zip格式）。

要是以上步骤都排查完还是有问题，可以把你执行的完整CLI命令（隐去敏感信息）和错误日志贴出来，能更精准定位问题。

内容的提问来源于stack exchange，提问作者Dan McGrath