REST api 用于 Azure DataLake 存储服务主体无法使用文件夹特定访问

Question

我正在尝试使用应用程序注册（活动目录/服务主体）身份验证来配置对 adls（gen2）存储的特定于文件夹的访问。 当我对整个存储/容器使用 RBAC 配置时它运行良好，但是当我配置对根文件夹的访问（读取+执行）时仍然出现 403 错误。 以下是我在配置过程中执行的步骤：

1. 我创建了应用注册，为其创建了一个秘密，并为 blob 存储和 adls 添加了 API 权限：
2. 在我的存储帐户的根目录中，我添加了 ACL（访问控制列表）以进行读取和执行访问。
3. Using postman I got the Oauth token for my application and trying to execute a GET request for the container to get the list of files in the directory using the URL from the azure docs ( https://docs.microsoft.com/en-us /rest/api/storageservices/datalakestoragegen2/path/list ）：

并得到错误：

{
    "error": {
        "code": "AuthorizationPermissionMismatch",
        "message": "This request is not authorized to perform this operation using this permission.\nRequestId:12401499-f01f-0105-2a98-327246000000\nTime:2021-04-16T08:15:07.8676657Z"
    }
}

当我设置对整个容器而不是 ACL 的 RBAC (IAM) 访问时，它就可以工作。 我还应该在我的配置中添加什么以对服务主体帐户使用特定于文件夹的访问权限？

Answer 1

我也可以在我这边重现你的问题，从你的请求 url，你想做操作List /abc/d/ ，所以要解决这个问题，你需要给 ACL 权限，如下所示。

手术	/	ABC/	d/
列表 /abc/d/	--X	--X	RX

您已经在容器（即/ ）处赋予了RX （实际上--x就足够了）权限，因此您只需在abc目录中赋予--X并在d目录中赋予RX ，然后它就可以正常工作了。

要授予目录的 ACL 权限，请参阅下面的屏幕截图。

见参考——ACL权限相关的常见场景，你的情况和上一个一样。

测试（该命令实质上调用了您使用的 REST API）：