关于Azure Front Door端点在存储账户删改后的自动移除及安全防护问询

1. 当关联的存储账户被重命名或删除后，Azure Front Door端点是否会被自动移除？ #

不会自动移除。Azure Front Door的端点配置独立于后端存储账户，即便关联的存储账户被重命名或删除，端点仍会保留在你的Azure资源清单中，仅因后端目标不可用而停止正常工作。

2. 若不会自动移除，删除关联存储账户后使用相同名称重新创建敏感存储账户时，是否会意外暴露至公网？ #

是的，存在这类风险。原Front Door端点的配置仍保留指向该存储账户名称的后端路由规则，当你用同名重新创建存储账户后，只要新账户的配置匹配原端点的路由要求（比如开启静态网站、路径规则一致等），Front Door会自动恢复路由指向，若新账户是敏感存储且未配置额外访问控制，就会被意外暴露到公网。

3. 有哪些防护措施可以规避这类场景？ #

• 及时清理无效配置：存储账户被删除或重命名后，立刻删除对应的Front Door后端池、路由规则，或是整个端点，避免残留配置引发风险。
• 为存储账户配置严格访问控制：设置防火墙规则，仅允许Front Door的特定IP范围访问；或使用Azure私有链接，将存储账户与Front Door通过私有网络连接，即便有配置残留，外部也无法通过Front Door访问敏感数据。
• 启用后端健康探测：配置Front Door的后端健康探测，一旦后端存储账户不可用，及时接收告警，快速处理无效配置。
• 配置资源锁：为存储账户和Front Door设置资源锁，防止误删除或重命名关键资源，降低这类场景的触发概率。
• 重建同名存储账户前做检查：确保已清理所有关联的Front Door配置，确认无残留路由规则指向该账户名称。

内容的提问来源于stack exchange，提问作者Tran Tony