Azure 函数对存储帐户的访问，但系统分配的标识失败

Question

首先，我应该提到我对Azure功能非常陌生，所以我不知道这项特定服务的固有特性。我认为问题可能是我没有以一种非常“功能式”的方式来看待这个问题。

我正在尝试使用系统分配的服务标识从Azure功能访问存储帐户。然而，无论我如何配置它，它都会抛出一个异常，表示“此请求未被授权使用此权限执行此操作。”

我知道我可以通过授予KeyVault访问权限并使用@Microsoft来访问它。KeyVault，我可以在其中存储连接字符串，但我希望能够自动旋转存储连接字符串而无需更新功能的应用程序设置。我见过使用存储作为输入绑定，但这些似乎也需要使用应用程序设置，以识别连接字符串。我只是希望能够利用为函数分配身份的优势，这样我就不需要在应用程序设置中存储这些信息。

以下是我目前尝试的方式：

功能：

public static class Function1
    {
        [FunctionName("WebHook-Func")]
        public static async Task<IActionResult> Run(
            [HttpTrigger(AuthorizationLevel.Function, "get", "post", Route = null)] HttpRequest req,
            ILogger log)
        {
            log.LogInformation("C# HTTP trigger function processed a request.");

            var azureServiceTokenProvider = new AzureServiceTokenProvider();
            string accessToken = await azureServiceTokenProvider.GetAccessTokenAsync("https://storage.azure.com/");
            TokenCredential creds = new TokenCredential(accessToken);

            log.LogInformation($"Token: {accessToken}");

            StorageCredentials storageCreds = new StorageCredentials(creds);

            try
            {
                CloudBlobClient client = new CloudBlobClient(new StorageUri(new Uri("https://<storageAccount>.blob.core.windows.net")), storageCreds);
                CloudBlobContainer container = client.GetContainerReference("fltd");
                CloudBlockBlob blob = container.GetBlockBlobReference("shopping.txt");

                string content = await blob.DownloadTextAsync();

                return (ActionResult)new OkObjectResult($"File contents: {content}");
            }catch(Exception ex)
            {
                return new BadRequestObjectResult($"Exception when calling web hook: {ex.StackTrace} {ex.Message}");
            }
        }
    }

然而，它不断抛出一个异常，称我未经授权。请注意，该异常发生在DownloadTextAsync，这意味着它能够检索容器和blob的引用：

Exception when calling web hook:    at Microsoft.WindowsAzure.Storage.Core.Executor.Executor.ExecuteAsyncInternal[T](RESTCommand`1 cmd, IRetryPolicy policy, OperationContext operationContext, CancellationToken token)

   at Microsoft.WindowsAzure.Storage.Blob.CloudBlob.DownloadRangeToStreamAsync(Stream target, Nullable`1 offset, Nullable`1 length, AccessCondition accessCondition, BlobRequestOptions options, OperationContext operationContext, IProgress`1 progressHandler, CancellationToken cancellationToken)

   at Microsoft.WindowsAzure.Storage.Blob.CloudBlockBlob.DownloadTextAsync(Encoding encoding, AccessCondition accessCondition, BlobRequestOptions options, OperationContext operationContext, IProgress`1 progressHandler, CancellationToken cancellationToken)

   at codeupdated.Function1.Run(HttpRequest req, ILogger log) in C:\...\webhook-func.cs:line 40 This request is not authorized to perform this operation using this permission.

有什么理由不能按原样工作吗？我可以将存储帐户设置为由密钥库管理，并使用 KeyVault 引用绑定请求 SAS 令牌，但这似乎是一个额外的步骤，并且违背了维护系统分配的服务标识的目的和易用性。此外，如果没有实际设置，我不知道它是否会返回相同的错误。

感谢你能提供的任何帮助。

Answer 1

参与者仅允许您的MSI管理存储帐户，它不会提供对该帐户中的blob数据的访问。

要解决此问题，只需将MSI（系统分配标识）添加到存储帐户作为Storage Blob Data Owner/Storage Blob数据贡献者，然后它就可以正常工作了。

Answer 2

您似乎没有为azure key vault中的功能分配正确的权限。请按照以下步骤尝试一下:

希望对你的问题有帮助~