.Net应用部署在AKS虚拟节点Docker容器中无法连接Azure Storage

问题根源 #

AKS虚拟节点运行在Azure托管的子网中，无法直接为该子网配置服务端点关联你的Storage账户，导致原有的VNet服务端点防火墙规则失效，请求被Storage拦截返回403错误。

可行解决方案 #

1. 配置Azure Private Link连接Storage

• 在AKS所在的自有VNet子网中创建Storage账户的Private Endpoint
• 更新应用的connectionString，使用Storage账户的私有Endpoint域名（格式通常为<storage-account-name>.privatelink.core.windows.net）
• 确认Storage账户防火墙规则已自动添加Private Endpoint的允许条目（若未自动添加可手动配置）
• 该方案同样适用于数据库连接：为数据库创建对应Private Endpoint，虚拟节点流量会通过VNet内部路由访问，完全符合安全要求

2. 结合NAT网关与用户定义路由(UDR)

• 在AKS自有VNet中创建NAT网关，分配静态公网IP
• 为虚拟节点关联的子网配置UDR，将Azure Storage服务的地址前缀（可通过Azure IP范围查询获取）路由到NAT网关
• 将NAT网关的静态IP添加到Storage账户的防火墙允许列表
• 虚拟节点的Storage访问流量会通过NAT网关的静态IP出站，被Storage防火墙允许，无需开启公网全访问

3. 使用Managed Identity替代Connection String

• 为AKS虚拟节点的Pod配置系统分配/用户分配的Managed Identity
• 为该Identity授予Storage账户的对应权限（如Storage Blob Data Contributor、Storage Queue Data Contributor）
• 修改应用代码，通过Azure Identity SDK获取访问令牌调用Storage服务，不再依赖connectionString
• 此方案搭配Private Link使用安全性最优，也可解决数据库的类似授权问题（若数据库支持Managed Identity认证）

验证建议 #

• 测试时可临时缩小防火墙规则范围，快速验证流量路径是否正确
• 通过az storage blob list --account-name <your-storage-account>命令或应用日志确认访问正常
• 数据库连接问题可参照对应方案适配（如Private Endpoint + Managed Identity组合）

内容的提问来源于stack exchange，提问作者Jano du Toit