非Premium版Logic App/Function App接入VNet内Blob Storage方法咨询

方案1：托管标识 + 服务端点（消费版Logic App优先选这个） #

• 给Function App/消费版Logic App开启系统分配托管标识：
  • Function App去门户的「身份」选项卡直接开启；
  • 消费版Logic App在工作流的「身份」设置里打开。
• 给这个标识配置Blob Storage权限：在Blob Storage的「IAM」页面添加角色分配，比如「存储Blob数据参与者」，按实际需求分配最小权限即可。
• 配置服务端点与防火墙规则：
  • 在Blob Storage所在VNet的子网中，启用Microsoft.Storage服务端点；
  • 进入Blob Storage的「防火墙和虚拟网络」设置，勾选「允许受信任的Microsoft服务访问此存储帐户」，再把启用了服务端点的子网加到允许列表里。
• 消费版Logic App要使用托管存储连接器，别用旧版的「Azure Blob Storage」连接器，托管连接器支持通过服务端点访问受VNet保护的存储资源。

方案2：虚拟网络集成 + 私有端点（适合消费版Function App） #

• 给Blob Storage创建私有端点：关联到目标VNet的子网，同时创建对应的私有DNS区域privatelink.blob.core.windows.net并关联到该VNet，确保私有IP能正确解析。
• 给消费版Function App开启区域虚拟网络集成：把Function App集成到Blob Storage私有端点所在的VNet子网，这样Function App的出站流量会进入VNet，就能访问私有端点了。
• 配置Blob Storage防火墙：关闭公共访问权限，仅允许VNet内部访问（包括私有端点所在子网）。
• 注意：消费版Function App的VNet集成仅支持同区域VNet，且需确保是消费版定价层（支持区域VNet集成）。

方案3：Azure Private Link服务（复杂网络场景适用） #

如果Function App/Logic App无法直接集成到目标VNet，可以部署Azure Private Link服务，将流量通过Private Link转发到Blob Storage的私有端点。这个方案需要额外配置资源，适合复杂网络环境。

内容的提问来源于stack exchange，提问作者user1580572