Azure创建Function App遇403禁止错误（存储账户选VNet/IP）

方案1：允许受信任Azure服务访问存储账户 #

在存储账户的网络设置中，勾选**“允许受信任的Azure服务访问此存储账户”**选项。该设置会授权Azure内部的部署管理服务访问存储账户，无需放宽整体网络访问限制，就能解决部署时的403问题。

方案2：添加部署发起端的公网IP到允许列表 #

若不想开放所有Azure服务，可将执行ARM模板部署操作的本地机器/CI/CD服务器的公网IP地址，添加到存储账户的IP允许列表中。部署时上传文件的请求由发起端发起，加入该IP即可获得访问权限。

方案3：通过托管标识授权访问（进阶方案） #

• 为Function App分配系统分配或用户分配的托管标识。
• 在存储账户的IAM权限设置中，给该托管标识分配存储文件数据参与者角色。
• 修改ARM模板，配置Function App使用托管标识访问存储账户，替代传统的存储账户密钥认证。这种方式无需直接访问存储文件共享，通过身份授权绕开网络访问限制。

方案4：分步部署存储账户与Function App #

1. 先单独部署存储账户，完成选定VNet/IP的访问限制配置（确保包含部署所需的IP或VNet范围）。
2. 再执行Function App的ARM模板部署，此时存储账户的访问规则已生效，且部署所需权限已提前配置完毕。

内容的提问来源于stack exchange，提问作者Praba karan