使用 Azure AD 和 Azure Storage PUT API 时出现无效的身份验证信息错误

Question

我正在尝试使用 Azure Active Directory (AAD) 身份验证和 REST API 将文件上传到 Azure 存储中的容器。 我无法弄清楚下面的工作流程中缺少什么，但它总是失败。

这个怎么运作：

0. 在 AAD 中创建了服务主体 (SP)
1. 为此 SP 生成了client_secret
2. 在存储帐户级别添加到 SP 的存储帐户的Contributor角色
   • 附带问题： Storage Blob Data Contributor角色是否可以缩小到容器级别，而不是在帐户级别授予？
3. 示例身份验证请求：
   • 方法： GET
   • URL： https://login.microsoftonline.com/<my_tenant>/oauth2/v2.0/token
   • 正文： x-www-form-urlencoded
     • grant_type : client_credentials
     • client_id : <client_id>
     • scope : https://graph.microsoft.com/.default
     • client_secret : <client_secret>
   • 标题：
     • content-type ： application/x-www-form-urlencoded
4. 样本授权。 回复：
   • 状态：200
   • 身体：

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "<auth_token>"
}

5. 到目前为止没有问题。 然后使用此请求中的<auth_token>发送 PUT 请求以将文件上传到 Azure 存储容器
6. 示例上传请求：
   • 方法： PUT
   • URL： https://<stg-account-name>.blob.core.windows.net/<container-name>/<file-name>.json
   • 正文： binary
     • <file-name>.json
   • 标题：
     • x-ms-blob-type : BlockBlob
     • x-ms-version ： 2020-04-08
       • AAD 身份验证需要（至少根据此文档）
     • Authentication ： Bearer <auth_token>
7. 示例上传响应：
   • 状态：401
   • 身体：

<?xml version="1.0" encoding="utf-8"?>
<Error>
    <Code>InvalidAuthenticationInfo</Code>
    <Message>Server failed to authenticate the request. Please refer to the information in the www-authenticate header.
RequestId:<guid>
Time:2022-09-26T18:29:27.4477615Z</Message>
    <AuthenticationErrorDetail>Signature validation failed. Signature verification failed.</AuthenticationErrorDetail>
</Error>

试过：

• 从身份验证 header 中删除Bearer关键字
  • 结果状态 403
• 将x-ms-version header 从2017-11-09为2020-04-08
  • 没变

问题

1. 这里缺少什么？
2. 这在文档中的哪个位置？

---

编辑1

1. 这里缺少什么？
   • 谢谢@gaurav-mantri，您的建议有效！
   • 我在 C 请求scope header 更改为https://storage.azure.com/.default默认值。
   • 随后的上传请求以状态 201 响应。
2. 你能帮我找到文档中引用的这个吗？
   • 在这些资源中找不到术语https://storage.azure.com/.default
     • 这里, 这里也不是这里
   • 搜索词Azure OAUTH scopes似乎在结果的第一页中没有显示任何内容