Azure存储RBAC预览角色未按预期工作：运维团队只读权限配置问题

老兄，你的需求其实非常清晰，直接锁定 Storage Blob Data Reader (Preview) 就完事了，完美匹配你的所有要求！

先给你拆解下核心逻辑：
你要的是运维团队能枚举Blob容器、读取Blob（包括日志文件），且权限严格限定在目标存储账户内的完全只读访问——这个角色的描述就是「允许对Azure存储Blob容器和数据进行只读访问」，简直是为你的场景量身打造的：

• 它包含了枚举容器的权限（毕竟要找到日志所在的容器，list操作是必须的）；
• 能读取所有Blob内容，包括日志文件；
• 纯只读权限，没有任何修改、删除数据的权利，完全符合最小权限安全原则。

至于你提到的 Storage Blob Data Contributor (Preview)，这个角色就太“重”了——它拥有Blob数据的完整读写权限，能创建、修改、删除Blob和容器，远远超出了你需要的只读范围。从安全角度来说，绝对不建议给运维团队分配这个角色，会带来不必要的数据风险。

额外提醒 #

分配角色的时候，一定要把作用域精准设置在目标存储账户级别，别不小心扩大到资源组或订阅层级，确保权限只覆盖你需要的那个存储账户。另外，虽然是预览版角色，但目前大部分Azure区域都已支持，功能上已经稳定，完全可以放心使用。

内容的提问来源于stack exchange，提问作者Josh