Azure Container App无法访问Storage Account Table的网络权限问题求助

问题背景 #

Docker容器化的Flask API部署在Azure Container App（ACA），本地通过存储账户连接字符串验证API密钥功能正常，但云端将存储账户设置为限制公共网络访问后，出现AuthorizationFailure错误，仅当允许所有网络访问时功能恢复。已尝试为ACA托管身份分配Storage Table Data Contributor角色、添加ACA出站IP到存储防火墙、切换存储账户路由方式，问题仍未解决。

下一步排查与解决步骤 #

1. 确认代码是否正确使用托管身份 #

本地测试用的是连接字符串，但云端若依赖托管身份，代码需调整为使用Azure AD身份验证而非连接字符串：

• 替换原连接字符串初始化逻辑，改用DefaultAzureCredential：

  from azure.data.tables import TableServiceClient
  from azure.identity import DefaultAzureCredential
  
  # 替换为你的存储账户URL
  account_url = "https://<your-storage-account-name>.table.core.windows.net/"
  credential = DefaultAzureCredential()
  table_service = TableServiceClient(account_url=account_url, credential=credential)
  

• 若使用用户分配的托管身份，需指定client_id：

  credential = DefaultAzureCredential(managed_identity_client_id="<your-user-assigned-mi-client-id>")
  

• 确认ACA已启用对应托管身份（系统分配/用户分配），且代码未仍在使用本地的连接字符串环境变量。

2. 验证防火墙规则完整性 #

• 登录Azure门户，进入ACA的概述页面，复制所有出站IP地址（ACA可能有多个出站IP），全部添加到存储账户的防火墙允许列表中。
• 检查存储账户防火墙是否存在冲突规则，比如同时配置了虚拟网络允许和IP允许，需确保ACA的出站IP或所在虚拟网络已被包含。

3. 核对IAM权限配置细节 #

• 确认IAM角色分配的主体正确：找到ACA系统托管身份的对象ID（在ACA的身份页面），检查存储账户的IAM角色分配中，该对象ID是否已被分配Storage Table Data Contributor角色（需是数据权限角色，而非管理类角色）。
• 检查是否存在拒绝类型的IAM策略，此类优先级高于允许策略，可能导致权限被阻断。

4. 排查虚拟网络与私有链接配置 #

• 若ACA启用了虚拟网络集成：确保存储账户的防火墙允许该虚拟网络访问，或为存储账户的表服务创建私有链接，将其加入ACA所在的虚拟网络，使流量走Azure内部私有网络。
• 切换存储账户的路由偏好为Microsoft网络路由（若之前切换到互联网路由无效），确保Azure内部服务间流量走专用通道。

5. 启用诊断日志定位问题 #

• 开启存储账户的诊断设置，勾选StorageRead、StorageWrite等日志类别，查看授权失败的详细日志，确认是身份验证失败还是网络访问被拒绝。
• 在ACA应用中添加日志输出，打印身份验证过程的关键信息（如使用的凭据类型、账户URL），帮助定位代码层面的问题。

内容的提问来源于stack exchange，提问作者TylerJSimpson