使用New-AzureRmSqlDatabaseExport备份Azure DB时遇Blob不可写入404错误

我之前帮不少开发者排查过这个问题，你在用Azure RM命令导出SQL数据库到Blob存储时碰到的404错误，核心原因要么是路径/容器不存在，要么是权限没配对，咱们一步步来排查解决：

1. 先确认Blob容器和路径的正确性 #

• 登录Azure门户找到对应的存储账户，先检查你指定的XXXXX-container容器是不是真的存在。要是容器没创建，直接先建一个（注意容器名得符合Azure规则：只能用小写字母、数字和短横线，不能以短横线开头或结尾）。
• 你提供的Blob路径里有一串很长的后缀，看起来像是命令自动生成的临时路径？不管怎样，只要容器存在，即使Blob还没创建，导出命令应该会自动生成，但如果容器本身不存在，就一定会报404。

2. 检查存储账户的权限和访问限制 #

• 先看执行导出命令的身份（比如你的Azure AD账号，或者用的服务主体）有没有存储账户的Storage Blob Data Contributor权限，至少得有目标容器的写入权限。
• 再检查存储账户是不是开了防火墙或虚拟网络限制：要是存储账户只允许特定IP/VNet访问，而Azure SQL服务不在允许列表里，肯定写不进去。可以临时关掉防火墙测试下，或者把Azure SQL的服务端点加到存储账户的允许列表中。
• 另外确认存储账户的访问层级：如果设成了"仅Azure资源访问"，其实Azure SQL服务是属于Azure内部资源的，应该没问题，但如果是私有容器，只要权限够也能访问，这点可以不用太纠结，先排查前面的权限问题。

3. 核对New-AzureRmSqlDatabaseExport的参数 #

别小看参数拼写错误，这是最常见的坑：

• -StorageKeyType：用存储账户密钥的话要设为StorageAccessKey，用SAS令牌就设为SharedAccessSignature，别搞混。
• -StorageKey：如果是存储密钥，要确保是主密钥或副密钥，别输错字符；如果是SAS令牌，必须包含写入（w）、创建（c）权限，而且有效期得在当前时间内，过期的令牌也会导致访问失败。
• -StorageUri：这个是完整的Blob URI，格式得是https://{存储账户名}.blob.core.windows.net/{容器名}/{备份文件名}.bacpac，检查下容器名和存储账户名有没有拼写错。

给你贴个正确的命令示例，你可以对照自己的命令检查：

$exportParams = @{
    ResourceGroupName        = "你的资源组名称"
    ServerName               = "你的SQL服务器名称"
    DatabaseName             = "要导出的数据库名"
    StorageKeyType           = "StorageAccessKey"
    StorageKey               = "你的存储账户访问密钥"
    StorageUri               = "https://xxx.blob.core.windows.net/xxx-container/backup.bacpac"
    AdministratorLogin       = "sa"
    AdministratorLoginPassword = (ConvertTo-SecureString "你的SA密码" -AsPlainText -Force)
}
$exportRequest = New-AzureRmSqlDatabaseExport @exportParams

4. 手动测试Blob容器的可写性 #

在Azure门户里，直接往目标容器上传一个小文件试试。如果上传失败，那问题肯定出在存储容器这边（权限不足、容器不存在等）；如果能上传成功，那大概率是导出命令的参数或者SQL服务的权限有问题。

5. 确认SQL数据库的导出权限 #

虽然你用的是sa账号，默认是有导出权限的，但还是确认下：sa账号有没有数据库的EXPORT权限，或者至少有CONTROL DATABASE权限。要是你用的是其他自定义账号，更要检查是否授予了导出所需的权限。

如果以上步骤都试过还是不行，建议用Azure门户的「导出数据库」功能操作一遍，要是门户能成功导出，就去门户的「活动日志」里找到对应的PowerShell命令，对比自己的命令看看哪里参数不对。

内容的提问来源于stack exchange，提问作者VKD