Azure存储账户私有链接访问场景下创建目录、删除Blob遇AuthorizationFailure权限错误

看起来你遇到的是个典型的ADLS Gen2（启用分层命名空间）+私有链接场景下的权限不一致问题——能正常上传Blob，但创建目录、删除Blob时就弹出AuthorizationFailure错误，开放所有网络访问就恢复正常对吧？结合你给出的配置细节，我整理了几个针对性的排查方向和解决方案：

• 检查私有端点的目标子资源配置
  因为你的存储账户启用了分层命名空间（ADLS Gen2），目录操作、Blob删除这类涉及DFS的操作，需要私有端点的目标子资源同时覆盖blob和dfs，而不是仅配置blob。你之前提到改成dfs后连容器都无法访问，大概率是配置不完整：

  • 重新编辑私有端点，确保子资源同时勾选blob和dfs两类
  • 检查私有DNS区域关联：需要同时把privatelink.dfs.core.windows.net和privatelink.blob.core.windows.net这两个私有DNS区域关联到客户端所在的虚拟网络，保证DFS和Blob的请求都能通过私有链接路由

• 验证RBAC权限的完整性
  上传Blob和创建目录、删除Blob需要的RBAC权限粒度不同：

  • 确认当前操作身份拥有Storage Blob Data Contributor角色，或者更具体的权限项：比如Microsoft.Storage/storageAccounts/blobServices/containers/blobs/delete（删除Blob）、Microsoft.Storage/storageAccounts/blobServices/containers/blobs/move/action（创建目录属于移动/重命名类操作）
  • 可以临时给测试身份赋予Storage Blob Data Owner角色（拥有完全控制权限），如果能正常操作，说明之前的权限粒度不够

• 检查网络层的访问限制

  • 确认存储账户的网络设置为“允许所选网络”，并且私有端点所在的虚拟网络已被添加到允许列表，同时确保“允许通过私有链接访问”选项处于启用状态
  • 排查网络安全组（NSG）和用户定义路由（UDR）：ADLS Gen2的操作使用HTTPS 443端口，需要确保私有端点与客户端之间的NSG规则允许443端口的双向流量，且UDR没有把DFS/Blob的请求路由到公网

• 验证客户端的DNS解析正确性
  私有链接正常工作的前提是客户端能正确解析存储账户的端点到私有IP：

  • 在客户端机器上执行命令 nslookup <你的存储账户名>.dfs.core.windows.net 和 nslookup <你的存储账户名>.blob.core.windows.net，确认返回的是私有端点的私有IP，而不是公网IP
  • 如果解析错误，检查客户端是否连接到了正确的虚拟网络，或者私有DNS区域是否正确关联了该虚拟网络

• 确认客户端操作的端点类型
  ADLS Gen2的真实目录需要通过DFS端点操作，而不是Blob端点的虚拟目录：

  • 如果你用Azure Storage Explorer，确保连接时选择了“Azure Data Lake Storage Gen2”类型；如果用az cli，使用az storage fs directory create命令（针对ADLS Gen2目录），而不是az storage blob directory create（针对Blob存储的虚拟目录）

另外，你提到另一个订阅的相同配置能正常工作，也可以对比两个订阅的私有端点配置、RBAC权限分配、DNS关联设置，找出差异点来定位问题。

备注：内容来源于stack exchange，提问作者user21677797