如何通过Azure服务主体为用户账户授予存储账户访问权限

当然可行！既然这个服务主体握着存储账户的全部权限，它完全有能力给你的用户账户分配所需访问权限，让你顺利打开Blob容器、查看存储账户内容。下面给你两种操作方式，选顺手的来就行：

方式一：通过Azure门户操作 #

• 首先用该服务主体的凭据登录Azure门户（或者用有权限代表这个服务主体操作的账户登录）。
• 找到目标存储账户，进入它的**访问控制(IAM)**页面。
• 点击添加 > 添加角色分配。
• 在角色列表里选合适的权限：如果只是想查看Blob数据，选存储Blob数据读取者就足够；要是需要管理容器等操作，可以选存储账户参与者这类更全面的角色。
• 切换到成员选项卡，选择「用户、组或服务主体」，搜索并选中你的Azure用户账户。
• 点击查看 + 分配完成操作，等个1-5分钟让权限生效，之后用自己的账户登录就能正常访问了。

方式二：通过Azure CLI操作（适合命令行爱好者） #

• 先使用服务主体登录Azure CLI：

  az login --service-principal -u <服务主体客户端ID> -p <服务主体密码/证书路径> --tenant <租户ID>
  

• 给你的用户账户分配角色，比如分配「存储Blob数据读取者」权限：

  az role assignment create --assignee <你的用户账户邮箱/对象ID> --role "Storage Blob Data Reader" --scope "/subscriptions/<订阅ID>/resourceGroups/<资源组名称>/providers/Microsoft.Storage/storageAccounts/<存储账户名称>"
  

• 把命令里的占位符（< >包裹的内容）替换成你自己的信息，执行完成后稍等权限生效即可。

小提醒：RBAC权限生效通常需要1-5分钟，要是刚分配完还提示「Access denied」，别着急，等一会儿再重试就行。

内容的提问来源于stack exchange，提问作者Galet