通过Azure专用终结点访问存储账户遇403问题，排查非权限端点类诱因

以下是排除权限配置和专用终结点创建错误后，可能导致403授权问题的常见原因：

• 存储账户网络规则拦截：若存储账户网络规则设为"允许选定的网络"，但未将专用终结点所在虚拟网络/子网加入允许列表，或误启用了公共网络访问限制但未正确适配专用终结点流量，会触发拦截。另外，检查专用终结点所在子网是否启用了默认拒绝的网络策略，阻断了存储账户方向的流量。
• DNS解析失效：专用终结点依赖私有DNS区域（如privatelink.blob.core.windows.net）将存储账户FQDN解析为私有IP。若客户端所在虚拟网络未关联对应私有DNS区域，或DNS记录未生成，客户端会解析到存储账户公共IP，若存储账户禁止公共访问则返回403。可通过nslookup <存储账户名>.blob.core.windows.net验证解析结果是否为专用终结点私有IP。
• 专用终结点连接状态异常：即使创建流程无错，专用终结点可能因子网NSG/UDR阻断服务端连接流量，处于未连接或失败状态。需在Azure门户确认专用终结点的"连接状态"为"已批准"。
• 身份验证令牌问题：使用Azure AD身份验证时，若令牌受众（aud）不正确（如Blob存储需指向https://storage.azure.com/而非特定账户）、令牌过期，或同时使用的SAS令牌权限不足/过期，都会导致403。
• 容器/Blob级ACL限制：即使拥有存储账户级权限，若目标容器的ACL设为私有，且当前身份无容器/Blob的具体权限，仍会返回403。
• 路由表（UDR）配置错误：客户端子网的路由表若存在将存储账户流量导向公共网络的路由（如默认路由指向互联网，未添加针对存储账户私有IP范围的路由指向专用终结点），会导致流量走公共通道，触发存储账户的公共访问限制。
• TLS版本不兼容：存储账户默认要求TLS 1.2+，若客户端使用过低版本的TLS，会被拒绝访问，部分场景下表现为403错误。需检查客户端TLS配置是否符合要求。

内容的提问来源于stack exchange，提问作者John Doe