PowerShell Azure Function访问私有端点存储账户Blob提示未授权

一、VNet对等互联及权限问题排查建议 #

• VNet对等配置验证
  • 确认两个VNet的对等互联状态为已连接，双方均启用允许虚拟网络访问；若涉及网关转发，需同时启用允许转发网关
  • 检查存储账户私有端点关联的子网，其网络安全组（NSG）未阻止来自Azure Function所在VNet的443端口流量（Blob服务默认使用HTTPS）
  • 确认存储账户的防火墙和虚拟网络设置中，已通过私有端点允许访问，或添加了私有端点所在的VNet/子网至允许列表
• 权限与标识检查
  • 核实托管标识的角色分配作用域已覆盖目标存储账户，避免仅分配到资源组层级但存储账户存在特殊限制
  • 确认报错中的对象ID与Function系统分配托管标识的ID完全一致，排查是否将角色分配给了错误标识
  • 若刚完成角色分配，等待5-15分钟让Azure RBAC生效，可在代码中添加Disconnect-AzAccount后重新调用Connect-AzAccount -Identity刷新上下文
• Function网络配置检查
  • 确认Function应用已配置VNet集成，且集成到与存储账户对等的VNet子网中
  • 验证Function的出站流量是否通过VNet路由至存储账户私有端点，未走公共网络通道

二、调用Blob私有端点的PowerShell代码示例 #

方式1：使用Az.Storage模块（推荐） #

# 托管标识登录逻辑
if ($env:MSI_SECRET) {
    Disable-AzContextAutosave -Scope Process | Out-Null
    Connect-AzAccount -Identity | Out-Null
}

# 获取存储账户上下文（自动识别私有端点路由）
$storageAccount = Get-AzStorageAccount -ResourceGroupName $azResourceGroupName -Name $azStorageAccountName
$storageContext = $storageAccount.Context

# 直接通过上下文访问Blob，筛选txt文件
$files = Get-AzStorageBlob -Container $azContainerName -Prefix 'myfolder' -Context $storageContext | 
         Where-Object { $_.Name -match 'txt' } | 
         Select-Object Name

方式2：基于REST API的私有端点访问 #

# 获取存储服务的托管标识令牌
$token = (Get-AzAccessToken -ResourceUrl "https://storage.azure.com/").Token

# 构建私有端点专属URL（格式：https://<存储账户名>.privatelink.blob.core.windows.net）
$blobListUrl = "https://$azStorageAccountName.privatelink.blob.core.windows.net/$azContainerName/myfolder?restype=container&comp=list"

# 请求头配置
$headers = @{
    "Authorization" = "Bearer $token"
    "x-ms-version"  = "2023-11-03"
}

# 调用API并筛选txt文件
$response = Invoke-RestMethod -Uri $blobListUrl -Headers $headers -Method Get
$files = $response.EnumerationResults.Blobs.Blob | Where-Object { $_.Name -match 'txt' } | Select-Object Name

额外注意事项 #

• 移除Function应用设置中存储账户的连接字符串配置，确保流量完全通过私有端点和托管标识路由
• 测试Function内的DNS解析：执行nslookup <存储账户名>.privatelink.blob.core.windows.net，确认返回私有端点的内网IP

内容的提问来源于stack exchange，提问作者felixmc