无法访问托管应用App Service的Log Stream：原因及解决方法咨询

可能的成因 #

• 权限配置缺失：预览版托管应用的权限默认可能未完全开放，发布者或客户租户的身份没有被授予访问App Service日志流的特定权限（如Microsoft.Web/sites/logs/read），导致无法建立连接。
• 网络连通性问题：Log Stream依赖WebSocket协议，客户租户的防火墙、App Service的IP限制规则，或者跨租户网络的连通性故障，会阻断WebSocket连接，导致一直显示“connecting....”。
• 日志配置未启用或错误：发布过程中可能未正确开启App Service的应用日志/服务器日志功能，或日志级别、存储配置错误，导致无日志数据可传输。
• Visual Studio连接失效：账户权限变更、本地VS的Azure工具包版本过时，或应用发布配置更新后本地未同步，都会导致VS无法再连接日志流。
• 预览服务临时故障：Partner Center的预览托管应用服务可能存在临时bug或服务中断，影响日志流的正常访问。

解决方法 #

1. 排查并补全权限 #

• 发布者侧：确保在客户租户的目标App Service资源上，发布者身份被分配Contributor、Log Analytics Reader角色，或直接添加Microsoft.Web/sites/logs/read的自定义权限。
• 客户侧：客户管理员需确认自身账户拥有该App Service的Reader及以上权限。

2. 验证网络与WebSocket连接 #

• 检查App Service IP限制：进入客户租户的App Service“网络”配置页，确认发布者和客户的访问IP在允许列表内。
• 测试WebSocket连接：用curl命令测试端点（替换<app-name>为你的应用名称）：

  curl -i -N -H "Connection: Upgrade" -H "Upgrade: websocket" -H "Host: <app-name>.azurewebsites.net" -H "Origin: https://portal.azure.com" "wss://<app-name>.azurewebsites.net/logstream"
  

  若连接失败，说明网络层面存在拦截。
• 临时关闭防火墙测试：客户侧暂时关闭本地或企业防火墙，验证是否能正常连接，排除防火墙干扰。

3. 检查App Service日志配置 #

• 启用日志功能：在客户租户的App Service“监控”->“日志流”页面，确认“应用日志”和“Web服务器日志”已启用，日志级别设置为“信息”或更高级别。
• 验证存储配置：检查App Service关联的存储账户连接字符串是否有效，确保存储账户权限正常，日志能正常写入。

4. 修复Visual Studio连接 #

• 同步账户与资源：在VS中重新登录Azure账户，刷新Azure资源列表，确保账户有权访问客户租户的App Service。
• 更新Azure工具包：将VS的Azure开发工具包升级到最新版本，解决兼容性问题。
• 手动导入发布配置：下载客户租户App Service的.publishsettings文件，在VS中手动导入，确保连接信息准确。

5. 临时替代访问方式 #

• 使用Azure CLI：登录对应租户后，执行命令实时查看日志流：

  az webapp log tail --name <app-name> --resource-group <resource-group-name>
  

• 查看存储账户日志：直接访问App Service关联的存储账户，下载并查看已存储的日志文件，获取历史日志数据。

内容的提问来源于stack exchange，提问作者Oleksa