如何查看Azure存储被防火墙阻止的连接流量日志及PowerBI拒绝日志？

1. 能否查看被防火墙阻止的连接流量日志？ #

可以，但需确保诊断设置的配置满足要求：

• 必须在存储账户的诊断设置中勾选StorageRead、StorageWrite、StorageDelete这些操作类别，且要包含失败请求的日志条目。
• 当Public Network Access设为Disabled或仅允许特定IP/虚拟网络时，被拦截的连接会被记录为状态码403 (Forbidden)的失败请求，操作名称会对应具体的存储操作（如TableQuery、TableInsert等）。

2. Log Analytics中查找PowerBI被拒绝连接的日志位置及排查要点 #

在Log Analytics工作区中，通过Kusto查询筛选目标日志：

StorageLogs
| where StatusText == "Forbidden" and OperationName startswith "Table"
| where UserAgent contains "PowerBI" or ClientIpAddress in ("<PowerBI服务IP段>")
| project TimeGenerated, OperationName, StatusText, ClientIpAddress, UserAgent, AccountName

如果未找到日志，按以下方向排查：

• 确认诊断设置覆盖范围：部分场景下，账户级诊断设置不会自动覆盖所有子服务，需单独为Table存储服务配置诊断设置并指定发送到目标Log Analytics工作区。
• 日志延迟问题：Azure诊断日志通常有5-15分钟的延迟，触发失败操作后需等待一段时间再查询。
• 网络层拦截的特殊性：当Public Network Access设为Disabled时，请求会被Azure网络层直接拦截，未到达存储服务的日志采集模块，此时存储账户不会生成相关日志。这种情况下，可通过PowerBI的数据集刷新历史查看更精准的错误详情，同时需通过添加PowerBI服务IP范围到存储防火墙或配置Private Endpoint来解决连接问题。

内容的提问来源于stack exchange，提问作者Pepesko