Azure Blob Storage RBAC权限异常：无法获取Blob列表

通过RBAC访问Azure Blob Storage读取PDF文件，已知文件名时能正常下载单个文件，但调用列表接口按前缀搜索文件时失败。已通过Entra应用注册配置认证入口，为控制访问的Azure组分配了Storage Blob Data Reader角色，调用列表接口时触发Azure.RequestFailedException，错误码为AuthorizationPermissionMismatch（状态码403），尝试添加其他存储权限仍未解决。

相关代码如下：

// Setup Access Token
InteractiveBrowserCredentialOptions Options = new InteractiveBrowserCredentialOptions
{
    TenantId = TentantID,
    ClientId = clientId,
    RedirectUri = new Uri(RedirectUri)
};

// Setup Client
InteractiveBrowserCredential cred = new InteractiveBrowserCredential(Options);
BlobServiceClient blobServiceClient = new BlobServiceClient(new Uri(BlobUri), cred);
BlobContainerClient containerClient = blobServiceClient.GetBlobContainerClient(containerName);

// Read Single File of Known Filename
string Filename = "REP000001_V000001_Report.pdf";
BlobClient blobClient = containerClient.GetBlobClient(Filename);
blobClient.DownloadTo(@"C:\Temp\" + Filename);
System.Diagnostics.Process.Start(@"C:\Temp\" + Filename);

// Search for Matching files.
string Prefix = string.Format("{0}{1:000000}_V{2:000000}", "REP", 1, 1);

try
{
    Azure.Pageable<BlobItem> List = containerClient.GetBlobs(BlobTraits.All, BlobStates.All, Prefix);
    if (List.Count<BlobItem>() == 1) // <= Errors here
    {
    }
}
catch(Exception ex)
{
    Console.WriteLine(ex.ToString());
}

解决方案 #

1. 权限差异根源 #

Storage Blob Data Reader角色仅授权读取单个Blob的权限，不包含列出容器内Blob的操作权限（对应权限动作：Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list），这是导致403错误的核心原因。

2. 权限调整方案 #

• 方案一：使用内置角色
  给目标Azure组分配Storage Blob Data Contributor角色，该角色包含列出Blob的权限，但会同时赋予写入Blob的权限，适合不需要严格权限控制的场景。
• 方案二：创建自定义RBAC角色
  若需遵循最小权限原则，创建仅包含必要操作的自定义角色，需添加以下权限动作：
  • Microsoft.Storage/storageAccounts/blobServices/containers/blobs/read（读取单个Blob）
  • Microsoft.Storage/storageAccounts/blobServices/containers/blobs/list（列出容器内Blob）

3. 验证与注意事项 #

• 权限变更后需等待5-15分钟，让RBAC权限在Azure系统中同步，避免立即测试导致权限未生效。
• 确认当前认证用户确实属于已分配权限的Azure组，可通过Azure CLI命令az ad user get-member-groups --id <用户ID>验证。

4. 代码优化建议 #

Pageable<BlobItem>是延迟加载集合，直接调用Count()会触发全量请求，若仅需判断是否存在匹配项，可改用Any()提升性能：

bool hasMatchingBlob = containerClient.GetBlobs(BlobTraits.All, BlobStates.All, Prefix).Any();

内容的提问来源于stack exchange，提问作者Glyn