跨订阅从Azure Data Factory访问存储账户的方案与问题排查

一、可用网络连接方式 #

从Azure网络架构角度，针对你的场景有以下几种可行方案：

• 公网IP白名单：将ADF的出站公网IP/IP段添加到存储账户防火墙的允许列表，直接通过公网访问。
• 存储账户资源实例授权：仅对启用了托管虚拟网络的ADF生效，把ADF实例加入存储账户的信任资源列表。
• 专用端点（Private Endpoint）：通过私有网络流量访问，完全不走公网，适用于高安全要求场景。
• VNet对等互联：如果ADF所在VNet（或托管VNet）与存储账户允许的VNet能建立跨订阅对等，也可实现访问。

二、已尝试方法的故障排查 #

1. 存储账户添加ADF资源实例失败 #

你遇到的问题大概率是因为：

• 普通公网ADF属于多租户服务，没有专属的网络标识，存储账户的「资源实例」授权仅支持启用托管虚拟网络的ADF，普通ADF添加后不会生效。
• 检查ADF资源ID是否正确：需从ADF概述页复制完整资源ID，确保订阅、资源组、实例名称完全匹配。

2. 专用端点的订阅疑问 #

专用端点的创建规则很明确：

• 存储账户的专用端点：必须在存储账户所属订阅创建，且部署到存储账户防火墙允许的VNet中。
• ADF的专用端点：在ADF所属订阅创建，若ADF用了托管虚拟网络，直接部署到该托管VNet；若为普通ADF，部署到你指定的VNet即可。
• 跨订阅专用端点需要配置私有DNS区域链接，确保ADF能解析到存储账户的专用IP地址，同时存储账户侧要允许该专用端点所在VNet的访问。

三、最优方案推荐 #

结合你的场景（ADF用公网端点、存储账户限制VNet/IP），推荐两种优先级方案：

方案1：公网IP白名单（快速落地） #

1. 获取ADF的出站IP：
   • 若ADF启用了托管虚拟网络，直接在「管理」>「虚拟网络」中查看出站公共IP。
   • 普通ADF需查询对应区域的ADF服务出站IP段（可在Azure内置的IP范围文档中找到）。
2. 到存储账户的「网络」>「防火墙和虚拟网络」，将上述IP/IP段添加到「允许的IP地址」列表。
3. 测试ADF链接服务的连接，确认是否正常。

方案2：专用端点（高安全长期方案） #

1. 在存储账户所属订阅，为存储账户创建专用端点，部署到存储账户防火墙允许的VNet，选择对应的存储服务类型（如Blob、File）。
2. 在ADF所属订阅：
   • 若ADF用了托管虚拟网络，在链接服务中选择「使用专用端点连接」，指定存储账户的专用端点。
   • 普通ADF需在自身VNet创建专用端点，并将存储账户的私有DNS区域（如privatelink.blob.core.windows.net）链接到ADF所在VNet，确保解析正常。
3. 确认存储账户防火墙已允许该专用端点所在VNet的访问，测试ADF链接服务。

四、关键注意事项 #

• 跨订阅访问除了网络配置，必须确保ADF的托管标识（或服务主体）拥有存储账户的对应权限（如Storage Blob Data Contributor），网络通但权限不足也会触发错误。
• 测试失败时，可查看存储账户的「监控」>「日志」，搜索失败请求的错误代码：403通常是权限/网络规则问题，404是资源不存在，503是服务不可用。
• 若追求最高安全性，建议将ADF切换为托管虚拟网络模式，配合专用端点实现完全私有网络访问。

内容的提问来源于stack exchange，提问作者Onki