如何为Azure VNet内的Storage Account配置IP基访问及VNet访问权限？

核心结论 #

不需要创建App Service，直接通过存储账户的网络配置即可实现VNet内资源的访问权限。

方案一：使用VNet服务端点（Service Endpoints） #

这是低成本、快速配置的方案，适合大多数场景：

• 操作步骤：
  1. 登录Azure门户，定位到目标存储账户，进入「网络」配置页
  2. 在「允许访问的网络」中选择「选定的网络」
  3. 滚动到「虚拟网络」区域，点击「添加现有虚拟网络」
  4. 选择需要授权的VNet和子网，勾选「启用Microsoft.Storage服务端点」，确认添加
  5. 保存配置，等待5-10分钟生效后，该子网内的VNet资源即可访问存储账户
• 关键特性：流量走公网链路但会被Azure标记为VNet来源，不会被原有的公网IP限制拦截；无需额外IP资源，子网级授权

方案二：使用专用端点（Private Endpoints） #

适合需要完全隔离公网流量、追求最高安全性的场景：

• 操作步骤：
  1. 进入目标存储账户的「专用端点连接」页面
  2. 点击「+ 专用端点」，按引导完成配置：
     • 选择订阅、资源组，设置专用端点名称
     • 关联目标VNet和子网
     • 目标资源类型选择「Microsoft.Storage/storageAccounts」，指定存储账户及需要映射的服务（如Blob、File）
     • 推荐配置Azure专用DNS区域，实现存储账户域名自动解析到VNet内私有IP
  3. 提交创建后，等待自动审批（自有存储账户默认自动通过）
  4. 回到存储账户「网络」页，确认专用端点已被纳入允许访问范围
• 关键特性：存储账户获得VNet内的私有IP，流量完全在VNet内部流转；与原有公网IP访问规则互不冲突

额外注意事项 #

• 添加VNet授权后，原有的特定公网IP范围访问权限依然有效，两者可共存
• 测试时需确保VNet内资源处于已授权的子网，或通过专用端点的私有IP/域名发起访问

内容的提问来源于stack exchange，提问作者Malini Kennady