Azure Blob存储403权限错误：Web App API访问受限问题排查

1. 出站IP地址未完全添加 #

• Azure App Service的出站IP包含静态出站IP和额外出站IP两类，若仅添加了静态IP，部分请求可能会从额外IP发出，导致被Blob防火墙拦截。
• 操作：进入App Service的「属性」面板，复制所有列出的出站IP地址，确保全部添加到Blob存储的防火墙允许列表中。

2. 未启用"允许受信任的Microsoft服务访问" #

• 即使已添加IP，若未开启该选项，部分通过Azure内部路由的请求仍可能被拒绝。
• 操作：在Blob存储账户的「网络」设置中，勾选允许受信任的Microsoft服务访问此存储账户选项。

3. 标识权限配置不完整 #

• 虽然API和Blob使用相同标识，但需确认该标识是否被授予Blob存储的对应数据权限（如Storage Blob Data Reader及以上角色）。
• 操作：进入Blob存储的「访问控制(IAM)」面板，检查该标识的角色分配，确保权限覆盖目标容器和Blob。

4. 请求源IP与预期不符 #

• 若API使用了Azure Front Door、API网关等代理服务，实际访问Blob的源IP可能是代理的IP而非App Service的出站IP。
• 验证：启用Blob存储的日志记录，查看请求的源IP字段，确认是否在已添加的允许列表内。

5. 防火墙规则存在冲突 #

• 检查Blob存储的防火墙规则是否存在拒绝规则，或允许规则的范围被其他规则覆盖。
• 确认规则顺序，确保允许API IP的规则优先级高于其他限制规则。

内容的提问来源于stack exchange，提问作者Tahami Rizwan