Azure应用服务传文件至存储账户报AuthorizationFailure错误求助

可能原因及排查步骤 #

1. 存储账户防火墙/虚拟网络配置遗漏 #

即使应用和存储同属一个NSG，存储账户自身的防火墙规则可能没放开应用子网的访问权限：

• 进入存储账户 → 「网络」→「防火墙和虚拟网络」，确认是否选择了「允许从选定的虚拟网络和IP地址访问」，且已添加vnet-network下的app-subnet。
• 如果之前设置了「允许所有网络访问」，那这步可以跳过，但生产环境不建议这么做。

2. NSG出站规则限制了存储流量 #

检查network_nsg的出站安全规则：

• 必须允许app-subnet向Azure存储发起HTTPS（443端口）流量，目标可以选Microsoft.Storage服务标签（如果用服务端点），或者存储账户的公共IP/私有IP。
• 注意优先级：如果有高优先级的拒绝规则挡住了443端口，会直接导致访问失败，要确保允许规则优先级更高。

3. 私有端点配置问题（如果用了私有端点） #

如果存储账户部署了私有端点：

• 确认私有端点所在子网（比如upload-subnet）和app-subnet之间的NSG规则允许双向TCP 443流量。
• 检查虚拟网络的DNS配置：app-subnet的DNS服务器得能正确解析存储账户的私有链接域名（格式类似xxx.privatelink.core.windows.net），要是解析到公共IP，流量会被防火墙拦截。

4. 应用身份权限不足 #

应用用的身份（托管身份或存储账户密钥）没拿到容器的写入权限：

• 用托管身份的话，得给该身份分配Storage Blob Data Contributor角色（针对目标容器或整个存储账户），别用Storage Account Contributor——这个是管理权限，没有数据写入权限。
• 用账户密钥的话，核对连接字符串里的密钥是否正确，且该密钥对应的账户确实有容器的写入权限。

5. 路由表配置错误 #

检查app-subnet关联的路由表：

• 如果用服务端点，路由表得保留Azure存储的系统路由，别把流量导去别的地方（比如NVA）；如果用私有端点，路由表要把存储账户的私有域名指向私有端点的IP。

快速验证方法 #

1. 临时把存储账户防火墙改成「允许所有网络访问」，测试上传是否成功——如果成了，就是防火墙/虚拟网络的问题。
2. 去应用服务的「诊断和解决问题」里看网络日志，确认是不是NSG或存储防火墙拦了流量。
3. 找个部署在app-subnet里的VM，用Azure CLI测权限：

   az storage blob upload --account-name <你的存储账户名> --container-name <目标容器名> --name test.txt --file ./test.txt --auth-mode login
   

   用托管身份测试，看会不会报同样的错误，能快速定位是权限还是网络问题。

内容的提问来源于stack exchange，提问作者Ramakrishnan Ramar