启用存储账户虚拟网络后，如何让Event Hub从应用访问存储账户？

1. 先打通网络访问 #

存储账户开启VNet限制后，默认拒绝所有外部请求，得先让你的应用所在网络能访问到它：

• 要是应用部署在Azure的VM、App Service、AKS这类托管服务上，直接把这些资源所在的虚拟子网，加到存储账户「虚拟网络」配置的允许列表里。
• 本地开发的话，把你的本地公网IP加到存储账户的「允许IP地址范围」里（动态IP可能需要定期更新）。
• 别忘了开启存储账户里的「允许受信任的Microsoft服务访问此存储账户」选项，能避免一些额外的权限拦截。

2. 换用托管身份认证（替代账户密钥） #

你当前配置用的是account-key，在VNet限制下哪怕密钥正确，网络不通照样失败，优先换托管身份：

第一步：给应用启用系统托管身份 #

不管是App Service、AKS还是VM，去资源的「身份」选项卡，直接启用系统托管身份即可。

第二步：给身份分配存储权限 #

给这个托管身份分配存储Blob数据参与者角色，作用域要覆盖目标存储账户和容器——这个角色能让身份读写checkpoint所需的blob文件。

第三步：修改application.yaml配置 #

删掉account-key配置项，添加身份相关配置：

spring:
  cloud:
    azure:
      eventhubs:
        connection-string:  ${EVENT_HUB_CONN:Endpoint=}
        namespace: ${AZURE_EVENTHUBS_NAMESPACE:}
        processor:
          checkpoint-store:
            account-name: ${AZURE_STORAGE_ACCOUNT_NAME:}
            container-name: ${AZURE_STORAGE_CONTAINER_NAME:ccapiresiliencyservice}
            credential:
              type: MANAGED_IDENTITY
    # 剩余的stream、function配置保持不变

本地开发时，用Azure CLI登录后，应用会自动使用你的本地开发身份访问，无需额外配置client-id。

3. 检查网络规则细节 #

• 确认应用所在子网的NSG（网络安全组）允许出站访问443端口（存储账户使用HTTPS），且允许访问Azure Storage的服务端点。
• 若存储账户使用了私有端点，需确保应用所在网络能解析私有端点的DNS，或配置对应的私有DNS区域。

4. 排查常见问题 #

• 角色分配不是即时生效的，刚配置完可能需要等待几分钟再测试。
• 再次确认存储账户中的目标容器未被误删——你之前运行正常，大概率没问题，但排查时别漏掉这一步。
• 通过应用日志定位问题：如果是连接超时/拒绝，说明网络未打通；如果是权限失败，说明身份或角色配置有问题。

内容的提问来源于stack exchange，提问作者Ayush