部署Azure Cloud Service（Extended Support）时遇PackageUriForbidden错误

以下是你可能遗漏的配置项，按优先级排查：

• 存储账户网络访问限制：即使Blob和容器设为公开，若存储账户防火墙仅允许特定IP/VNet访问，Azure部署服务会被拦截。去存储账户的「网络设置」里，要么勾选「允许所有网络访问」，要么开启「允许受信任的Azure服务访问此存储账户」选项。
• 云服务部署权限不足：你当前的权限只覆盖了存储和网络，但部署Cloud Service (Extended Support)需要Cloud Service Contributor或Contributor角色（订阅/资源组级别），这个角色授权执行云服务的部署写入操作。
• 包文件URI有效性：确认.cspkg的URI是可正常访问的：
  • 用SAS URL的话，必须包含**读取（r）**权限，且有效期覆盖部署全程；
  • 公开Blob的话，直接在浏览器打开URI，确认能下载包文件。
• 托管身份权限（若使用）：如果部署依赖托管身份而非用户账户，需给该身份分配Storage Blob Data Reader权限，同时确保它拥有Cloud Service Contributor权限。
• 存储账户SKU兼容性：Cloud Service (Extended Support)仅支持标准SKU的存储账户（通用v2或Blob存储），Premium块Blob存储会导致访问权限问题，检查你的存储账户类型是否符合要求。

内容的提问来源于stack exchange，提问作者Patrick