Azure Data Factory映射数据流访问防火墙后存储容器的问题咨询

核心原因 #

Auto Resolve集成运行时（IR）是Azure托管的公共服务IP，默认不在目标存储的防火墙允许列表内，所以无法建立连接。你没遗漏基础配置，只是需要针对防火墙场景做额外设置。

可行解决办法 #

• 添加Auto Resolve IR的出站IP到存储防火墙允许列表

  1. 确认你的ADF实例所在的Azure区域，找到该区域Auto Resolve IR的出站IP范围。
  2. 进入目标存储账户的「防火墙和虚拟网络」设置页，选择「允许从选定的网络访问」，将获取到的IP范围添加到允许列表中。
  3. 保存设置后，等待5-10分钟让规则生效，再测试映射数据流的连接。

• 启用托管虚拟网络+私有链接访问
  这是更安全的方案，无需暴露公共IP：

  1. 给目标存储账户创建私有端点，确保私有端点与ADF的托管虚拟网络处于同一区域（或通过VNet对等互联连通）。
  2. 在ADF中创建目标存储的链接服务时，选择「私有链接」模式，关联刚才创建的私有端点。
  3. 打开映射数据流的「设置」面板，启用「托管虚拟网络」选项。此时Auto Resolve IR会在托管VNet内运行，通过私有链接访问存储，完全绕过公共防火墙限制。

注意事项 #

• 如果你的ADF和存储不在同一区域，使用私有链接时需要确保VNet之间有对等互联或者通过VPN/ExpressRoute连通。
• 若选择IP白名单方式，要注意Auto Resolve IR的IP范围可能会随Azure区域更新而变化，建议定期检查并更新防火墙规则。

内容的提问来源于stack exchange，提问作者Anshul Dubey