设置IP规则后Azure自动化Runbook仍无法访问WebApp Kudu文件

以下是排查和解决该问题的关键步骤：

• 确认服务标签适用场景
  GuestandHybridManagement服务标签仅覆盖Azure自动化的混合Runbook工作器IP范围。如果你的Runbook是在Azure托管沙箱中运行，该服务标签不包含沙箱IP，此时需添加AzureCloud（或更精确的区域级标签如AzureCloud.eastus）的允许规则，优先级设为100。

• 验证SCM站点规则配置
  确保访问限制规则是配置在SCM站点专属的访问限制列表中（路径：WebApp → 网络 → 高级工具(SCM)访问限制），而非主WebApp的访问限制。同时检查：

  • 允许规则的动作为「允许」，源类型选择「服务标签」，值准确填写为GuestandHybridManagement
  • 无优先级高于100的其他拒绝规则覆盖当前允许规则

• 检查Runbook运行身份权限
  确认Runbook使用的身份（如自动化账户托管身份）具备访问WebApp Kudu的权限：

  • 为托管身份分配「网站参与者」角色，或更细粒度的权限以调用Kudu API
  • 若使用用户名密码认证，确保凭据有效且对应用户拥有WebApp访问权限

• 排查访问错误细节
  在Runbook中添加日志输出，记录访问Kudu时的完整错误响应（如403状态码的详细信息），区分是IP被拦截还是权限不足导致的访问失败。也可手动使用属于GuestandHybridManagement范围的IP测试SCM站点，验证规则是否生效。

内容的提问来源于stack exchange，提问作者SKumar