Azure App Service访问存储账户失败，已配置例外及VNet集成仍未解决

API 探路者

2026-6-26

解决Azure App Service访问受限存储账户的额外配置项

下面是你需要检查和配置的几个关键点：

启用App Service VNet集成的全流量路由
默认情况下，App Service的VNet集成仅路由目标为RFC 1918私有地址范围的流量。如果你的存储账户使用公网端点，需要在App Service的VNet集成设置里开启**“路由所有出站流量到虚拟网络”**，这样所有请求都会通过集成的VNet发送，才能匹配存储账户的VNet防火墙规则。
为集成子网启用存储服务端点
在存储账户的网络设置中，除了添加VNet，还要确保对应的子网已经启用了Microsoft.Storage服务端点。这样子网内的流量会通过专用通道访问存储账户，存储账户的防火墙才能识别并允许来自该子网的请求。
验证Managed Identity权限配置
即使网络规则放行，App Service仍需具备访问Blob的权限。为App Service启用系统分配或用户分配的托管标识，然后给该标识分配Storage Blob Data Contributor（或对应所需权限的角色）到存储账户或目标容器。
检查私有DNS解析（若使用私有端点）
如果存储账户配置了私有端点，需要确保App Service集成的VNet关联了对应的Azure Private DNS区域（privatelink.blob.core.windows.net），或者在App Service的自定义DNS设置中配置私有端点的IP解析，避免出现DNS解析失败导致无法访问的情况。
确认信任服务例外的生效范围
虽然你开启了“允许信任服务列表中的Azure服务访问”，但部分场景下（比如存储账户配置了私有端点）该例外可能不生效。如果依赖这个例外，要确保存储账户未配置私有端点，且App Service的请求是通过存储账户的公网端点发起的。