Azure Functions托管身份访问存储专用端点失败问题求助

• 检查函数应用VNet集成配置
  确认用的是区域VNet集成（而非网关集成），集成子网未启用存储服务端点（专用端点与服务端点冲突会导致路由异常）。同时检查集成子网的NSG出站规则，确保允许子网内流量访问存储专用端点的VNet内部IP段。

• 验证存储专用端点与DNS配置
  确认存储专用端点部署在同一VNet子网内，且VNet已关联对应专用DNS区域（如privatelink.blob.core.windows.net），存储账户的专用端点已成功注册到该DNS区域。另外检查存储账户防火墙是否仅允许专用网络访问，无其他公网例外配置。

• 排查出站路由异常
  执行tracert <存储账户域名>或Test-NetConnection <存储账户域名> -Port 443查看实际路由路径，确认是否因路由表配置导致流量走公网出口。若集成子网关联了自定义路由表，需确保存储专用端点的IP段路由条目为下一跳指向Virtual Network，避免被强制隧道（如指向VPN网关）转发到公网。

• 确认托管身份的网络访问权限
  托管身份需访问Azure AD端点获取令牌，检查集成子网的NSG或路由表是否允许出站到login.microsoftonline.com等Azure AD服务地址。可在函数代码中添加日志，捕获令牌获取阶段的错误信息，排查是否因认证失败导致网络访问异常。

• 验证DNS解析一致性
  检查代码是否硬编码了存储账户公网IP，或存在自定义DNS配置覆盖VNet专用DNS。重启函数应用实例清除DNS缓存后，再次测试访问，确认应用实际使用的DNS解析结果与nslookup一致。

• 检查专用端点状态
  在Azure门户确认存储专用端点处于已连接状态，无部署失败或关联错误，确保专用端点与VNet的关联正常。

内容的提问来源于stack exchange，提问作者user24037662