Logic Apps连接器访问同区域跨租户Blob时使用私有IP问题咨询

问题根源 #

Azure同区域内的云服务默认会通过Azure骨干网的私有链路通信，而非公网IP，这就是为什么你将Logic Apps的公网IP加入白名单后仍无法访问同区域Blob存储的原因——此时Logic Apps实际使用私有IP发起请求。

可行解决方案 #

• 添加Logic Apps私有IP到Blob白名单

  1. 登录Azure门户，进入你的Logic Apps资源，在「概览」页的「出站IP地址」部分，找到同区域通信使用的私有IP列表
  2. 通知合作伙伴将这些私有IP添加到Blob存储的「允许选定虚拟网络和IP地址」的IP白名单中
  3. 注意：消耗型Logic Apps会有多个出站私有IP，需全部添加；标准型若关联了虚拟网络，可直接添加对应子网的IP范围

• 使用Azure Private Link跨租户访问

  1. 合作伙伴在其Blob存储资源中创建「专用终结点（Private Endpoint）」
  2. 通过Azure Private Link服务，将该专用终结点共享至你的租户
  3. 你的Logic Apps（标准型可直接关联虚拟网络；消耗型需部署到集成环境ISE）通过专用终结点访问Blob，全程走私有网络，无需公网IP

• 部署Logic Apps到集成环境（ISE）强制走公网IP

  1. 创建Azure Logic Apps集成环境（ISE），将现有Logic Apps迁移至ISE中
  2. 获取ISE的专属公网出站IP，将这些IP添加到合作伙伴Blob存储的白名单
  3. ISE的出站IP固定且专属，同区域通信时也会使用公网IP，符合现有白名单配置逻辑

• 切换为Azure AD身份验证替代IP白名单

  1. 合作伙伴开启Blob存储的Azure AD身份验证
  2. 你的租户中创建服务主体，为其分配Blob存储的对应权限（如Storage Blob Data Contributor）
  3. 修改Logic Apps的Blob连接器，使用Azure AD身份验证方式（而非连接字符串/密钥）
  4. 此方式通过身份授权访问，无需依赖IP白名单，避免IP变化带来的维护成本

内容的提问来源于stack exchange，提问作者Mycha