从Azure Synapse专用SQL池访问防火墙存储账户时遇403 Forbidden错误

结合你提供的配置信息和日志细节，以下是针对性的排查步骤：

1. 核对存储账户防火墙的允许范围 #

从StorageBlobLogs可见，请求来源IP为10.0.0.11，但你的存储账户仅允许子网10.0.2.0/24访问：

• 检查存储账户防火墙规则，确认是否将Synapse托管VNet的IP范围（或整个10.0.0.0/16）加入允许列表
• 若存储账户仅限制特定子网访问，而专用SQL池的流量来自托管VNet的其他IP段，会被防火墙直接拦截

2. 强制专用SQL池使用托管专用终结点 #

虽然已创建存储账户的托管专用终结点，但外部数据源配置未明确指定时，专用SQL池可能走公网路由：

• 修改外部数据源语句，添加ENDPOINT_URL参数指向存储账户的专用终结点URL，强制流量通过专用链路：

  CREATE EXTERNAL DATA SOURCE [DataSource] 
  WITH (
      TYPE = HADOOP, 
      LOCATION = 'abfss://${var.datalake_container_name}@${var.datalake_hostname}', 
      CREDENTIAL = [ScopedCredential],
      ENDPOINT_URL = 'https://${var.datalake_account_name}.privatelink.dfs.core.windows.net'
  );
  

3. 切换至托管身份认证适配受信任服务规则 #

存储账户“允许受信任服务访问”的规则仅对托管身份/服务主体认证生效，不适用账户密钥认证：

• 你的请求使用账户密钥（AuthenticationType=AccountKey），因此即使开启受信任服务允许，仍会被防火墙拦截
• 切换为Synapse托管身份认证：
  1. 确认Synapse工作区托管身份已拥有存储账户Storage Blob Data Contributor权限（已配置）
  2. 更新数据库范围凭据：

     CREATE DATABASE SCOPED CREDENTIAL [ScopedCredential]
     WITH IDENTITY = 'Managed Service Identity';
     

  3. 重新关联外部数据源，此时请求会以托管身份发起，自动适配受信任服务的防火墙规则

4. 验证账户密钥的有效性 #

即使禁用防火墙可访问，仍需确认：

• 数据库范围凭据中存储的账户密钥是否正确、未过期
• 该账户密钥拥有存储容器的读取权限（容器无自定义ACL时，账户密钥默认具备全权限）

5. 确认网络连通性 #

检查Synapse托管VNet与存储账户关联VNet的链路状态：

• 确认存储账户的专用终结点已部署在用户VNet中，且状态为“已批准”（已配置）
• 排查是否有网络安全组（NSG）或路由规则阻止托管VNet到存储账户专用终结点的流量

内容的提问来源于stack exchange，提问作者dh762