禁用公共访问的存储账户访问Blob报403 AuthorizationFailure如何解决？

1. 验证身份验证方式有效性 #

• 若用Azure AD身份验证，确认当前登录账号是拥有Storage Blob Data Contributor权限的账号，避免误登其他账号。可执行az account show查看当前Azure账号信息。
• 若用账户密钥/SAS令牌，检查密钥是否未过期、未被轮换，SAS令牌是否包含读权限且在有效期内。

2. 确认专用终结点DNS解析准确性 #

• 执行nslookup <你的存储账户Blob服务URL>，验证返回IP为专用终结点IP，而非公共IP。
• 检查中心网络的privatelink.blob.core.windows.net专用DNS区域：确认A记录指向存储账户专用终结点IP，且存储账户所在VNet、中心VNet均已链接到该DNS区域。

3. 核对存储账户网络规则配置 #

• 确认存储账户公共访问确实处于禁用（最严格模式），未被误改。检查专用终结点是否关联正确VNet，子网无额外权限限制。
• 确认存储账户VNet与中心VNet的对等连接为双向已连接状态，路由表配置正确，无流量转发障碍。

4. 检查RBAC权限作用范围 #

• 确认Storage Blob Data Contributor权限是直接分配给你的账号，或通过组继承，且作用范围覆盖目标存储账户、容器或Blob，避免仅分配到资源组级别。
• 排查是否存在拒绝分配（Deny Assignment），比如Azure Policy或RBAC拒绝规则会覆盖允许权限，限制Blob访问。

5. 验证VPN流量路由 #

• 确认VPN路由表包含存储账户专用终结点子网段，确保流量通过中心VNet、对等连接流向专用终结点，而非走公共网络。
• 执行traceroute <专用终结点IP>（Linux）或tracert <专用终结点IP>（Windows）追踪流量路径，确认链路符合预期。

6. 对比Key Vault配置差异 #

• 细查两者专用终结点的VNet/子网关联、DNS配置差异：比如Key Vault是否依赖专用DNS区域而非hosts文件，检查存储账户的hosts记录格式是否正确（应为<存储账户名>.blob.core.windows.net 对应专用IP）。

内容的提问来源于stack exchange，提问作者MyName