Azure Blob上传失败？权限错误解决方法

本文档旨在帮助开发者解决在使用 Azure Blob 存储上传文件时遇到的 "AuthorizationFailure" 错误，即权限不足的问题。文章将详细介绍该错误的常见原因，并提供通过配置 Azure 存储账户的网络防火墙规则，添加客户端 IP 地址来解决问题的具体步骤，确保应用能够成功读写 Blob 存储。

问题描述

在使用 Azure Blob 存储上传文件时，可能会遇到类似以下错误信息：

com.azure.storage.blob.models.BlobStorageException: If you are using a StorageSharedKeyCredential, and the server returned an error message that says 'Signature did not match', you can compare the string to sign with the one generated by the SDK. To log the string to sign, pass in the context key value pair 'Azure-Storage-Log-String-To-Sign': true to the appropriate method call. If you are using a SAS token, and the server returned an error message that says 'Signature did not match', you can compare the string to sign with the one generated by the SDK. To log the string to sign, pass in the context key value pair 'Azure-Storage-Log-String-To-Sign': true to the appropriate generateSas method call. Please remember to disable 'Azure-Storage-Log-String-To-Sign' before going to production as this string can potentially contain PII. Status code 403, "`AuthorizationFailure`This request is not authorized to perform this operation.

错误信息表明请求未被授权执行该操作，通常是由于客户端 IP 地址未被添加到存储账户的防火墙白名单中，导致无法访问 Blob 存储。

解决方案：配置 Azure 存储账户网络防火墙

解决此问题的关键在于确保客户端 IP 地址拥有访问 Azure Blob 存储的权限。以下步骤演示如何通过 Azure 门户配置存储账户的网络防火墙规则，添加客户端 IP 地址：

1. 定位存储账户： 登录 Azure 门户，导航至包含你的存储账户的资源组。

2. 进入存储账户： 在资源组中，找到并选择你的存储账户。

3. 访问网络设置： 在存储账户的左侧导航栏中，找到 "Security + networking" 部分，然后选择 "Networking"。

4. 配置防火墙： 在 "Networking" 页面，你会看到 "Firewall" 部分。在这里，你可以配置允许访问存储账户的网络规则。

5. 添加客户端 IP 地址： 在 "Firewall" 部分，找到 "Add your client IP address" 选项。选中此复选框，Azure 会自动检测并添加你的客户端 IP 地址到允许访问的 IP 地址列表中。

   • 注意： 如果你的客户端 IP 地址是动态变化的，或者你需要允许多个 IP 地址访问，则需要手动添加 IP 地址范围。

6. 保存更改： 完成 IP 地址添加后，点击页面顶部的 "Save" 按钮，保存你的更改。

代码示例 (Java)

虽然此解决方案主要涉及 Azure 门户配置，但在代码层面，确保正确配置 Azure SDK 的认证方式也很重要。以下 Java 代码示例展示了如何使用 StorageSharedKeyCredential 进行身份验证：

import com.azure.storage.blob.*;
import com.azure.storage.blob.specialized.BlockBlobClient;
import com.azure.core.credential.AzureNamedKeyCredential;

public class BlobUploader {

    public static void main(String[] args) {
        // 替换为你的存储账户名称和密钥
        String accountName = "your_account_name";
        String accountKey = "your_account_key";
        String containerName = "your_container_name";
        String blobName = "your_blob_name.txt";
        String filePath = "path/to/your/local/file.txt";

        // 构建存储账户连接字符串
        String connectionString = String.format("DefaultEndpointsProtocol=https;AccountName=%s;AccountKey=%s;EndpointSuffix=core.windows.net", accountName, accountKey);

        // 创建 BlobServiceClient 对象
        BlobServiceClient blobServiceClient = new BlobServiceClientBuilder()
                .connectionString(connectionString)
                .buildClient();

        // 获取 ContainerClient 对象
        BlobContainerClient containerClient = blobServiceClient.getBlobContainerClient(containerName);

        // 创建 BlockBlobClient 对象
        BlockBlobClient blockBlobClient = containerClient.getBlobClient(blobName).getBlockBlobClient();

        try {
            // 上传文件
            blockBlobClient.uploadFromFile(filePath);
            System.out.println("文件上传成功！");
        } catch (Exception e) {
            System.err.println("文件上传失败：" + e.getMessage());
            e.printStackTrace();
        }
    }
}

注意事项：

• 确保你的客户端 IP 地址已经添加到存储账户的防火墙白名单中，否则即使代码正确，仍然会遇到权限错误。
• 避免在生产环境中使用 Azure-Storage-Log-String-To-Sign，因为它可能包含敏感信息。
• 如果使用 SAS 令牌，请确保令牌具有足够的权限，并且在有效期内。

总结

通过配置 Azure 存储账户的网络防火墙规则，添加客户端 IP 地址，可以有效解决 Azure Blob 存储上传文件时遇到的 "AuthorizationFailure" 错误。同时，确保代码中使用的身份验证方式正确，可以避免其他潜在的权限问题。在生产环境中，建议使用更安全的身份验证方式，例如 Azure Active Directory (Azure AD) 身份验证。