使用 Microsoft.WindowsAzure.Storage 创建共享访问令牌返回 403

Question

我有一个相当简单的方法，它使用新的存储API创建一个SAS并将blob从一个容器复制到另一个容器。

我正在尝试使用它在存储帐户之间复制 BLOB。因此，我有 TWo 存储帐户，具有完全相同的容器，并且我正在尝试将 blob 从存储帐户的容器复制到另一个存储帐户的容器。

我不知道SDK是否为此而构建，但这似乎是一种常见的情况。

一些附加信息：

1. 我在目标容器上创建令牌。是否需要在源和目标上创建该令牌？注册令牌需要时间吗？我是否需要为每个请求创建它，还是每个令牌"生存期"仅创建一次？

我应该提到 403 是未经授权的结果 http 错误代码。

  private static string CreateSharedAccessToken(CloudBlobClient blobClient, string containerName)
    {
        var container = blobClient.GetContainerReference(containerName);
        var blobPermissions = new BlobContainerPermissions();
        // The shared access policy provides read/write access to the container for 10 hours:
        blobPermissions.SharedAccessPolicies.Add("SolutionPolicy", new SharedAccessBlobPolicy()
        {
            // To ensure SAS is valid immediately we don’t set start time 
            // so we can avoid failures caused by small clock differences:
            SharedAccessExpiryTime = DateTime.UtcNow.AddHours(1),
            Permissions = SharedAccessBlobPermissions.Write |
                          SharedAccessBlobPermissions.Read
        });

        blobPermissions.PublicAccess = BlobContainerPublicAccessType.Blob; 
        container.SetPermissions(blobPermissions);
        return container.GetSharedAccessSignature(new SharedAccessBlobPolicy(), "SolutionPolicy");
    }

下面我使用此令牌调用复制操作，该操作返回 403：

  var uri = new Uri(srcBlob.Uri.AbsoluteUri + blobToken);
            destBlob.StartCopyFromBlob(uri);

我的 Azure.Storage 版本是 2.1.0.2。

这是完整的复制方法，以防有帮助：

    private static void CopyBlobs(
        CloudBlobContainer srcContainer, string blobToken,
        CloudBlobContainer destContainer)
    {
        var srcBlobList
            = srcContainer.ListBlobs(string.Empty, true, BlobListingDetails.All); // set to none in prod (4perf)
        //// get the SAS token to use for all blobs 
        //string token = srcContainer.GetSharedAccessSignature(
        //    new SharedAccessBlobPolicy(), "SolutionPolicy");
        bool pendingCopy = true;
        foreach (var src in srcBlobList)
        {
            var srcBlob = src as ICloudBlob;
            // Determine BlobType:
            ICloudBlob destBlob;
            if (srcBlob.Properties.BlobType == BlobType.BlockBlob)
            {
                destBlob = destContainer.GetBlockBlobReference(srcBlob.Name);
            }
            else
            {
                destBlob = destContainer.GetPageBlobReference(srcBlob.Name);
            }
            // Determine Copy State:
            if (destBlob.CopyState != null)
            {
                switch (destBlob.CopyState.Status)
                {
                    case CopyStatus.Failed:
                        log.Info(destBlob.CopyState);
                        break;
                    case CopyStatus.Aborted:
                        log.Info(destBlob.CopyState);
                        pendingCopy = true;
                        destBlob.StartCopyFromBlob(destBlob.CopyState.Source);
                        return;
                    case CopyStatus.Pending:
                        log.Info(destBlob.CopyState);
                        pendingCopy = true;
                        break;
                }
            }

            // copy using only Policy ID:
            var uri = new Uri(srcBlob.Uri.AbsoluteUri + blobToken);
            destBlob.StartCopyFromBlob(uri);

            //// copy using src blob as SAS
            //var source = new Uri(srcBlob.Uri.AbsoluteUri + token);
            //destBlob.StartCopyFromBlob(source);
        }
    }

最后是帐户和客户(经过审查(的代码：

       var credentials = new StorageCredentials("BAR", "FOO");
        var account = new CloudStorageAccount(credentials, true);
        var blobClient = account.CreateCloudBlobClient();
        var sasToken = CreateSharedAccessToken(blobClient, "content");

当我使用 REST 客户端时，这似乎有效...有什么想法吗？

Answer 1

还要考虑这个问题：

var uri = new Uri(srcBlob.Uri.AbsoluteUri + blobToken);

可能您正在调用 Uri 的"ToString"方法，该方法生成 url 的"人类可编辑"版本。如果 blobToken 包含特殊的字符，例如"+"，这将导致存储服务器上出现令牌格式错误的错误，拒绝授予您访问权限。

请改用这个：

String uri = srcBlob.Uri.AbsoluteUri + blobToken;

Answer 2

此

任务不需要共享访问令牌。我最终得到了两个帐户，它工作正常：

        var accountSrc = new CloudStorageAccount(credsSrc, true);
        var accountDest = new CloudStorageAccount(credsSrc, true);
        var blobClientSrc = accountSrc.CreateCloudBlobClient();
        var blobClientDest = accountDest.CreateCloudBlobClient();

        // Set permissions on the container.
        var permissions = new BlobContainerPermissions {PublicAccess = BlobContainerPublicAccessType.Blob};
        srcContainer.SetPermissions(permissions);
        destContainer.SetPermissions(permissions);

   //grab the blob
        var sourceBlob = srcContainer.GetBlockBlobReference("FOO");
        var destinationBlob = destContainer.GetBlockBlobReference("BAR");
        //create a new blob
        destinationBlob.StartCopyFromBlob(sourceBlob);

Answer 3

由于两个 CloudStorageAccount 对象都指向同一个帐户，因此无需使用 SAS 令牌进行复制就可以了，正如您还提到的。

另一方面，需要可公开访问的 Blob 或 SAS 令牌才能从另一个帐户复制。因此，您尝试的内容是正确的，但您建立了容器级访问策略，该策略最多可能需要 30 秒才能生效，MSDN 中也记录了这一点。在此间隔期间，与存储访问策略关联的 SAS 令牌将失败，状态代码为 403(禁止访问(，直到访问策略变为活动状态。

我想指出的另一件事是;当您调用 Get*BlobReference 来创建新的 blob 对象时，在执行 GET/HEAD 操作(如 FetchAttributes(之前，不会填充 CopyState 属性。