Azure:尝试将 Blob 复制到不同租户中的存储帐户时，SAS 被拒绝并出现 Blob 下载失败？

Question

我正在尝试在租户 A 中进行 Arm 模板部署。json 文件中的参数之一是指向租户 B 中存储帐户中的 blob 的 SAS uri。我生成了具有完全读/写/的 token 为租户 B 中的 blob 添加...etc + http/https 权限并将其放入，但被拒绝并显示消息:

BlobDownloadFailed\",\r\n \"message\":\"Microsoft.Azure.Storage.StorageException: Server failed toauthenticate the request. Make sure the value of Authorization headeris formed correctly including the signature.\\r\\n atMicrosoft.Azure.Storage.Core.Executor.Executor

似乎发生的情况是，ARM 正在接受部署并尝试使用提供的 SAS 从存储帐户中提取 blob，但存储帐户拒绝它。当我尝试使用位于同一资源组+租户中的 blob 的 SAS 时，部署有效。我的理解(这可能是不正确的)是，使用正确的权限生成 sas token 本身就足以跨租户使用。在进行访问不同租户和资源组中的资源的arm部署时是否需要其他步骤，例如应用程序注册等？

Answer 1

BlobDownloadFailed",\r\n "message": "Microsoft.Azure.Storage.StorageException: Server failed to authenticate the request. Make sure the value of Authorization header is formed correctly including the signature.\r\n at Microsoft.Azure.Storage.Core.Executor.Executor

上述错误可能是由于限制而发生的，请检查以下几点:

• 在您的租户 B 中，您已分配角色的存储帐户，例如存储 blob 贡献者

Azure 门户->存储帐户->访问控制(IAM)->添加角色分配->存储 blob 贡献者角色。

• 请检查您的存储帐户是否启用了防火墙，它也可能会拒绝您的Server failed to authenticate the request .请检查您的存储是否已列入白名单，默认情况下其 ip 可以访问是 127.0.0.1:10000。

Azure 门户 -> 存储帐户 -> 网络 -> 选中允许来自(所有网络/选定网络)的访问
如果是“选定的网络” - 这意味着存储帐户已启用防火墙。

• 还以正确的方式检查存储帐户 + SAS URL。
  https://< Storageaccountname >.blob.core.windows.net/< container name>/< Filename >?sp=r&st=2022-09-05T13:02:10Z&se=2022-09-05T21:02:10Z&spr=https&sv=2021-06-08&sr=b&sig=BL2%2Bwo157%2FMfll0NJpx3bO4yIh6P%2B2hDjZwu8
• 验证容器的访问级别并将访问级别更改为读取 blob(如果它是私有(private)的)。就我而言，我也是存储帐户的管理员，并启用了读取、写入和创建 SAS 权限。
• 确保您的系统时间设置正确，并且您的SAS已验证。如果其中任何一个不正确，您可能会收到 "Failed to Authenticate"消息。

引用: Grant limited access to data with shared access signatures (SAS) - Azure Storage | Microsoft Docs