如何从Azure公共静态Web应用连接Azure私有存储账户

针对你遇到的场景，有以下几种可行的解决方案：

方案一：Azure Functions 作为中转桥接 #

• 在存储账户所在的VNet（或已对等互联的VNet）中部署Azure Functions实例。
• 为该Functions配置指向存储账户的Private Endpoint，确保Functions能访问仅限VNet的存储账户资源。
• 保留静态Web应用的公网访问能力，让前端通过Front Door调用Functions的公网端点，由Functions中转请求到存储账户。
• 为Functions配置IP访问限制，仅允许Front Door的官方IP段访问，避免未授权请求。

方案二：Front Door + Azure API Management（APIM）中转 #

• 部署APIM实例，为APIM配置连接到存储账户VNet的Private Endpoint，确保APIM能直接访问存储账户。
• 在APIM中创建代理API，映射到存储账户的服务接口（比如Blob存储的REST API路径）。
• 静态Web应用通过Front Door访问APIM的公网端点，借助APIM完成对存储账户的请求中转。
• 可在APIM中添加访问控制策略（如IP限制、OAuth2验证），进一步提升安全性。

方案三：存储账户防火墙添加Front Door IP范围 #

• 获取Front Door的官方公网IP地址段（Azure会定期更新该列表），将这些IP段添加到存储账户的防火墙允许列表中。
• 这样静态Web应用通过Front Door发起的请求，源IP会匹配Front Door的IP段，从而被存储账户允许访问。
• 注意：该方案安全性相对较低，且需要定期同步Front Door的IP更新，适合对安全性要求不高的场景。

内容的提问来源于stack exchange，提问作者Abhishek Singh