Azure私有端点应用更新日志后仍无法加载日志流及403错误排查

1. 检查SCM（Kudu）站点的访问限制 #

• 登录Azure门户，进入目标App Service的「配置」→「常规设置」，确认SCM站点IP限制是否包含当前私有子网的IP段。若有严格IP规则，需添加VNet内的IP范围。
• 切换到「网络」→「访问限制」，注意主应用与SCM站点的访问限制是独立配置的，务必检查SCM站点的规则是否允许私有网络内的请求通过。

2. 为SCM站点配置私有端点 #

主站点的私有端点不会自动覆盖SCM站点，需单独配置：

• 在App Service的「网络」→「私有端点连接」中点击「添加」。
• 创建私有端点时，在「目标子资源」选择scm（主站点对应sites），关联到同一VNet的子网。
• 确认私有DNS区域（如privatelink.azurewebsites.net）中，同时存在主站点和SCM站点的A记录，且指向对应的私有IP。

3. 验证NSG与路由表规则 #

• 检查App Service所在子网的NSG入站规则，允许来自同一VNet的流量访问443端口（日志流使用HTTPS）。
• 查看子网的路由表，确保没有将SCM站点的流量强制转发到公网（如UDR规则不要把*.scm.azurewebsites.net的流量导向防火墙，除非防火墙已放行该请求）。

4. 本地网络连接与解析验证 #

• 在同一VNet内的虚拟机上执行nslookup {appname}.scm.azurewebsites.net，确认解析结果为私有IP。若解析到公网IP，需检查私有DNS区域的关联或记录配置。
• 用curl -v https://{appname}.scm.azurewebsites.net/api/logstream测试连接，查看403错误的具体原因：
  • 若提示IP被拒绝，回到步骤1调整访问限制；
  • 若提示身份验证失败，确保使用Azure AD账号或App Service发布凭据（用户名/密码）登录。

5. 启用SCM站点的VNet集成 #

若私有端点配置后仍有问题，可尝试为SCM站点启用VNet集成：

• 在App Service的「网络」→「VNet集成」中点击「配置VNet集成」，选择对应的VNet和子网，让SCM站点直接加入私有网络，允许内部访问。

内容的提问来源于stack exchange，提问作者Namra Mahak