Azure云服务调用Cosmos DB表操作返回Forbidden，WinForms正常

在Azure云服务中与Cosmos DB（Table API）交互时，所有表操作（包括创建表）均返回Forbidden错误，但相同代码在WinForms桌面应用中可正常运行。即使通过本地VS调试器运行云服务代码，依然触发该错误。

运行正常的WinForms代码如下：

using Microsoft.Azure.Cosmos.Table;
...
string connectionString = "DefaultEndpointsProtocol=https;AccountName=xxx;AccountKey=yyy;TableEndpoint=https://xxx.table.cosmos.azure.com:443/;";

CloudStorageAccount storageAccount = CloudStorageAccount.Parse(connectionString);

TableClientConfiguration config = new TableClientConfiguration();
config.UseRestExecutorForCosmosEndpoint = true;

CloudTableClient tableClient = storageAccount.CreateCloudTableClient(config);

// Create the table if it doesn't exist
CloudTable tbl1 = tableClient.GetTableReference("table1");
tbl1.CreateIfNotExists();

CloudTable tbl2 = tableClient.GetTableReference("table2");
tbl2.CreateIfNotExists();

以下是针对Forbidden错误的常见排查方向：

• 检查Cosmos DB防火墙与虚拟网络配置
  Cosmos DB默认可能限制了访问来源。进入Azure门户的Cosmos DB账户，查看「防火墙与虚拟网络」设置：

  • 本地调试云服务时，需将本地公网IP添加到允许访问的IP列表；
  • 云服务部署运行时，需将云服务的所有出站IP地址添加到允许列表（可在云服务的「属性」中查看出站IP）；
  • 临时测试可勾选「允许从所有网络访问」，验证是否是防火墙导致的问题。

• 验证连接字符串的正确性
  确保云服务中使用的连接字符串与WinForms完全一致：

  • 检查AccountName、AccountKey是否正确，注意密钥是否有特殊字符转义问题；
  • 如果云服务通过环境变量或配置文件读取连接字符串，确认配置值没有被篡改或缺失。

• 确认权限配置

  • 确保使用的AccountKey是账户的主密钥或辅助密钥（而非只读密钥），只读密钥无法执行创建表等写入操作；
  • 如果采用RBAC权限模型，需为云服务的托管身份分配Cosmos DB Table Contributor等具备写入权限的角色。

• 检查云服务网络出站规则
  查看云服务关联的网络安全组（NSG），确认出站规则允许访问HTTPS（443端口）到Cosmos DB的终端地址，避免流量被拦截。

• 确认Table API兼容性设置
  进入Cosmos DB账户的「Table API」设置，确认已启用与存储Table API的兼容性，确保客户端SDK能正常交互（你的代码中已设置UseRestExecutorForCosmosEndpoint=true，这是适配Cosmos DB Table API的必要配置，无需修改）。

内容的提问来源于stack exchange，提问作者Kajko