angular - 能否从 Azure AD 安全组继承 RBAC Blob 存储 Angular 色？

Question

我在使用 Azure Blob 存储进行身份验证时遇到问题，我们在 Angular 应用中使用 ADAL 来连接 Azure Blob 存储。

我已使用存储模拟设置了 Azure 应用程序注册，并且可以为用户获取 https://storage.azure.com/ 资源的 token 。

存储帐户已为用户配置了Storage Blob Data Contributor 的访问控制，现在这就是我开始遇到问题的地方。

如果我直接将用户分配给Storage Blob Data Contributor - 一切都会按预期进行，我们可以查询和上传 Blob。

但是，如果我们将Storage Blob Data Contributor分配给 AD 安全组，则该 AD 组的成员无法访问存储并收到带有 x-ms-error-code 的 403 错误:AuthorizationPermissionMismatch header 。

通过组分配权限有任何限制吗？我们需要高级广告吗？任何帮助将不胜感激。

更新

确认高级 AD 没有问题，因为在尝试具有 P2 的租户后仍然无法正常工作。

文档 here州；

When an RBAC role is assigned to an Azure AD security principal, Azure grants access to those resources for that security principal. Access can be scoped to the level of the subscription, the resource group, the storage account, or an individual container or queue. An Azure AD security principal may be a user, a group, an application service principal, or a managed identity for Azure resources.

这当然意味着您可以为每个人分配 Angular 色或从组继承 Angular 色？？？

完整的上下文；

1. 使用 Azure 存储 配置的应用程序注册 -> user_impersonation
2. 用户具有通过 分配的 Storage Blob Data Contributor Angular 色小组作业
3. Angular 应用可以针对 https://storage.azure.com/ 进行授权并获取 token
PUT 请求出现
4. 403 错误，错误代码为 AuthorizationPermissionMismatch
5. 更新 Angular 色分配以包含直接分配
6. 获取新 token ...
7. PUT 现在可以运行并且图像已成功存储

现在这有效了 - 事实证明群组就是原因。为什么组分配不授予用户访问权限？

再次感谢任何帮助!

更新2

按照下面答案中的要求；

“IAM 访问”边栏选项卡中的“检查访问”选项显示我已从三个组(QA - 技术人员、QA - 没有客户数据的站点管理员和质量检查 - 站点管理员(带客户数据)

自从几个月前创建这些与 Angular 色关联的用户以来，我就没有更改过这些用户，如上图所示，我必须是要包含在此处的 Angular 色的成员。

组不是动态分配的，所有用户都通过“成员资格”部分分配给 Angular 色。这些是通过另一个小组进行的，这重要吗？即

Answer 1

您能否使用 Azure 门户中受影响的存储帐户上“IAM 访问”边栏选项卡中的“检查访问”选项，看看属于该组的用户是否通过继承显示 Angular 色分配？另外，我会要求您检查该用户是否属于我们尝试访问时的组的一部分。该组是否具有动态成员资格用户分配？

存储帐户 > IAM > 添加 Angular 色并添加此类请求的特殊权限，STORAGE BLOB DATA CONTRIBUTOR，我建议您查看这些 article

目前，您可以使用 PowerShell 测试基于身份的访问 https://learn.microsoft.com/en-us/azure/storage/common/storage-auth-aad-rbac-powershell

让我知道状态