如何正确配置Azure中App Service到私有存储账户的连接？

一、Private Link 导致的 net::ERR_NAME_NOT_RESOLVED 问题 #

这个错误的核心是域名解析配置缺失：你创建了Private Link，但没有将App Service所在VNet关联到存储账户对应的Private DNS区域，导致App Service实例无法正确解析存储账户的私有域名。

需要补充以下配置：

• 找到存储账户Blob服务对应的Private Link资源，确保它已关联到privatelink.blob.core.windows.net这个Private DNS区域；
• 将App Service所在的VNet链接到上述Private DNS区域，让VNet内的App Service实例能通过Private DNS获取存储账户的私有IP；
• 检查存储账户的访问限制规则，确认已自动生成允许Private Link访问的规则（配置Private Link后会自动添加，若缺失需手动补充）。

验证方法：在App Service的Kudu控制台执行nslookup <你的存储账户名>.blob.core.windows.net，若返回10.0.1.0/24子网内的私有IP，说明解析配置正常；若返回公网IP，就是Private DNS关联未完成。

二、Service Endpoint 导致的 Forbidden 错误 #

出现这个错误是因为App Service出站流量未强制走VNet：默认情况下，App Service的VNet集成仅让部分流量走子网，存储账户请求可能仍用公网IP发出，被存储账户的VNet访问限制拦截。

修正步骤：

1. 确认App Service所在子网10.0.3.0/24已配置Microsoft.Storage类型的Service Endpoint；
2. 在App Service的“网络”配置中开启强制VNet出站（Force VNet Outbound），该选项会让所有出站流量通过VNet子网发送，此时存储账户会识别到请求来自授权VNet，而非客户端公网IP。

三、架构可行性确认 #

你的需求完全可以实现：公网用户可访问App Service，同时App Service通过VNet集成+Private Link/Service Endpoint访问私有Blob存储，存储账户仅开放给VNet内的流量。

和AWS的核心差异点：

• Azure App Service的VNet集成默认不强制所有流量走VNet，需手动开启强制出站；
• Private Link必须配合Private DNS区域才能完成私有域名解析；
• Service Endpoint是通过VNet标识授权，无需配置IP白名单。

内容的提问来源于stack exchange，提问作者Andrew Striletskyi