存储账户禁用匿名访问时，如何配置Azure CDN实现合法访问？

针对你遇到的存储账户匿名访问禁用后，CDN无法正常托管JS文件的问题，以下是几个可行的解决方案：

1. 修正CDN托管身份的RBAC配置 #

之前给CDN分配Reader角色失效，核心问题是Reader属于管理权限，无法读取存储Blob数据，正确配置步骤：

• 给CDN启用系统分配托管身份，在存储账户的IAM中，为该身份分配存储Blob数据读取者角色，范围指定到目标容器或整个存储账户。
• 在CDN端点的源配置里，选择「使用托管身份验证」，确保CDN通过身份验证访问存储资源。
• 这种方式无过期问题，权限稳定，适合长期托管静态资源。

2. 结合CDN规则引擎做访问控制（适配内部场景） #

如果仅公司内部应用使用这些JS文件，可叠加以下配置：

• 在CDN规则引擎中添加规则，限制请求IP为公司内网IP段，避免资源被外部访问。
• 若需要用户身份验证，可配置规则要求请求携带公司Azure AD的身份令牌，仅通过验证的内部用户能访问资源。

3. 改用Azure静态Web Apps托管资源 #

如果CDN+存储的方案仍有问题，Azure静态Web Apps是更省心的替代方案：

• 自带CDN加速能力，支持直接上传静态文件或通过代码仓库自动部署。
• 可配置限制为内部访问，或结合Azure AD做身份验证，无需单独处理存储账户的权限问题。

4. 配置存储账户网络规则限制CDN访问 #

在存储账户的网络设置中，添加Azure CDN的服务端点，仅允许CDN的官方IP范围访问存储账户：

• 配合托管身份使用，既能确保只有CDN能访问存储资源，又能通过CDN向内部用户提供资源，避免存储账户暴露。

补充：之前托管身份失效的可能原因 #

• 误用了Reader角色（无Blob数据读取权限），应替换为存储Blob数据读取者。
• 角色分配的范围错误（比如仅授权了某个容器，但文件存放在其他容器）。
• 托管身份被意外删除或权限被撤销。

内容的提问来源于stack exchange，提问作者AlvinfromDiaspar