如何配置Event Hub通过专用终结点访问无公网访问的Storage Account

核心解决步骤 #

当Storage Account关闭公网访问后，Event Hub无法通过公网路径访问，必须通过专用终结点或服务终结点建立私有连接，同时需确保权限与网络配置正确，以下是具体操作：

1. 补全专用终结点配置 #

• 给Storage Account创建Blob服务专用终结点，部署到与Event Hub相同或有对等连接的虚拟网络（VNet）中
• 确保Event Hub要么启用虚拟网络服务终结点，要么本身部署在专用终结点所在的VNet内（若Event Hub也使用专用终结点）
• 检查Storage Account防火墙设置，确认仅允许来自Event Hub所在VNet的流量，或直接禁用公网访问、仅放行专用终结点请求

2. 改用托管身份认证（避免使用账户密钥） #

• 为Event Hub命名空间启用系统分配或用户分配的托管身份
• 在Storage Account的IAM权限设置中，给该托管身份添加存储Blob数据参与者（或仅授予必要的最小权限）
• 在Event Hub的捕获/归档配置里，选择托管身份认证方式，而非存储账户密钥

3. 确认DNS解析正常 #

• 使用专用终结点时，需配置私有DNS区域privatelink.blob.core.windows.net，确保Event Hub所在环境能正确解析Storage Account的专用域名
• 将私有DNS区域关联到Event Hub所在的VNet，否则DNS解析失败会伪装成授权错误，导致明明权限正确却报错

4. 排查网络连通性 #

• 用VNet内的虚拟机测试到Storage Account专用终结点的连通性，检查是否有网络安全组（NSG）或路由表拦截流量
• 确认Event Hub的虚拟网络规则允许与Storage Account专用终结点子网的通信

错误提示的误导性说明 #

出现"Access Forbidden: Invalid credentials"不一定真的是凭据错误，若网络不通或DNS解析失败，也会返回该授权失败提示，优先排查网络配置，再核对凭据。

内容的提问来源于stack exchange，提问作者Dr Schizo