Azure：如何让应用网关成功认证存储账户中的Blob存储？

问题根源 #

健康探测报409（PublicAccessNotPermitted）是因为应用网关的健康探测不支持用托管标识做认证——哪怕你给网关分配了Storage Blob Data Reader权限，探测请求还是会以匿名方式发送，自然被禁用了匿名访问的存储账户拒绝。

可行解决方案 #

方案1：给健康探测单独配置可匿名访问的Blob #

创建一个无敏感内容的小Blob（比如healthcheck.txt），单独把这个Blob的匿名访问权限设为Blob级只读，然后修改应用网关的健康探测：

• 探测路径设为/你的容器名/healthcheck.txt
• 其他参数（HTTP/HTTPS、端口）和后端配置保持一致
  这样既能满足健康探测的需求，又能保证其他Blob的匿名访问处于禁用状态。

方案2：用Azure Front Door配合应用网关（可选） #

如果需要全链路认证，可以把Front Door部署在应用网关前端。Front Door支持用托管标识访问Blob存储，而且它的健康探测可以配置带认证的请求。不过这个方案会增加组件和成本，适合复杂业务场景。

方案3：切换到存储账户静态网站 #

如果你的场景是静态内容分发，静态网站确实是更适配的选择：

• 静态网站的$web容器即使在Blob匿名访问禁用的情况下，也能通过应用网关正常访问
• 健康探测可以直接指向静态网站的默认页面（比如index.html），不需要额外配置匿名Blob

重要提醒 #

应用网关的托管标识权限只对实际业务请求生效，健康探测请求不支持托管标识认证，这是当前Azure产品的固有限制。

内容的提问来源于stack exchange，提问作者user2794745