Azure存储账户授权设置：指定用户访问及文档上传权限配置方法

嘿，刚接触Azure Storage就遇到权限调整的问题很正常，我来一步步给你拆解怎么实现仅让特定用户访问存储账户并上传文档：

1. 先关闭公共访问权限（堵上之前的公开入口） #

首先得把之前开放的公共访问给关掉，这样所有人都不能再通过URL直接访问文档了：

• 登录Azure门户，找到你的目标存储账户
• 进入数据保护模块下的配置页面（或者直接在存储账户搜索框搜“公共访问级别”）
• 将“允许的公共访问级别”设置为禁用，保存后之前的公开URL就会失效

2. 用RBAC给特定用户分配权限 #

Azure的RBAC（基于角色的访问控制）是控制存储账户权限的标准方式，针对你的需求推荐这几个角色：

• 存储Blob数据贡献者：最常用的角色，允许用户在存储账户的Blob容器里创建、读取、写入、删除文档，完全覆盖“访问+上传”的需求
• 如果需要更精细的权限（比如仅允许上传不能删除），可以自定义角色，但新手先从内置角色入手更简单

操作步骤：

• 进入存储账户的**访问控制(IAM)**页面
• 点击添加 > 添加角色分配
• 在角色列表里搜索并选中“存储Blob数据贡献者”
• 在“成员”页选择你要授权的特定用户（可以是Azure AD里的单个用户、用户组）
• 确认信息后保存，等待1-2分钟权限就会生效

3. 可选：容器级别的权限细化（按需选择） #

如果你的文档都集中在某个特定容器里，不想给用户整个存储账户的权限，可以在容器级别分配RBAC角色：

• 进入存储账户下的容器列表，找到目标容器
• 进入该容器的**访问控制(IAM)**页面，重复上面的角色分配步骤即可

4. 用户如何访问和上传文档？ #

权限配置好后，用户不能再用公开URL访问了，推荐这几种方式：

• 使用Azure存储资源管理器：用户登录自己的Azure账号后，就能看到有权限的存储容器，直观地上传、下载、管理文档
• 使用Azure CLI命令：比如上传文件可以用az storage blob upload --account-name <你的存储账户名> --container-name <容器名> --name <Blob文件名> --file <本地文件路径>，执行前需要先通过az login登录自己的Azure账号
• 使用Azure存储SDK：比如.NET、Python的官方SDK，通过Azure AD身份验证来调用存储服务接口

内容的提问来源于stack exchange，提问作者Amrit