如何限制Azure存储容器仅允许同资源组的App Service访问？

首先明确：你没法直接通过存储账户网络规则的「添加资源实例」选项选择App Service——Azure存储的防火墙规则里没有把App Service列为可直接选择的资源类型，因为App Service作为多租户平台服务，其运行实例的IP属于动态公共IP池，无法通过资源实例的方式直接授权。

针对你的需求，推荐以下两种可行方案：

方案1：App Service VNet集成 + 存储账户允许子网访问（推荐） #

这是最符合Azure最佳实践的方式，利用专用网络通信避免依赖公共IP：

• 给App Service配置VNet集成：在App Service的「网络」设置里，选择「VNet集成」，关联到一个和存储账户同区域的虚拟网络子网（无现成VNet可先创建）。
• 在存储账户的网络规则中添加该子网：进入存储账户的「网络」设置，在「允许的虚拟网络」下添加刚才关联的VNet子网，保存规则。
  配置完成后，App Service会通过专用IP访问存储账户，完全符合文档中同区域资源使用专用IP通信的说明，同时存储账户的公共访问限制依然生效。

方案2：添加App Service的出站IP地址到存储账户允许列表 #

如果暂时不想配置VNet集成，可采用此方式，但需注意App Service的出站IP可能在缩放、重启等场景下变更，需定期维护：

• 查看App Service的出站IP地址：在App Service的「属性」页面，找到「出站IP地址」列表（包含静态和动态IP）。
• 将这些IP全部添加到存储账户网络规则的「允许的IP地址」列表中。
  需注意，即使同区域，App Service的出站IP依然是公共IP，只是通信走Azure内部骨干网络，存储账户防火墙需明确允许这些IP才能正常访问。

另外，不要依赖「允许受信任的Microsoft服务访问」选项——该选项仅针对Azure托管的特定服务（如Azure备份、Azure Monitor等），并不包含普通App Service实例，开启后无法让你的App Service访问受限制的存储账户。

内容的提问来源于stack exchange，提问作者Jason Stamp