Azure Blob容器仅允许自有服务器IP上传的权限问题及方案咨询

一、当前配置未生效的排查点 #

• 确认IP范围准确性：服务器的出站IP可能不是你添加的入站IP，云服务器/托管服务通常有独立的公网出站IP，需核实实际对外请求的IP（可通过在服务器上访问https://ifconfig.me这类工具获取）；单个IP要以x.x.x.x/32的CIDR格式添加，避免格式错误
• 排查请求来源：如果是前端浏览器直接调用存储API，请求IP是用户的公网IP，而非服务器IP，此时添加服务器IP完全无效
• 检查规则优先级：确保没有拒绝规则覆盖允许规则，同时确认存储账户未开启“允许Microsoft信任的服务绕过防火墙”（若开启可能导致规则冲突，按需关闭）
• 验证规则生效延迟：存储账户防火墙规则变更后通常需要1-5分钟同步，不要立刻测试

二、当前配置是否为最佳实践？ #

分两种场景判断：

• 若采用后端中转上传（网站后端统一调用存储API）：添加服务器IP的方式可行，但不算最优——IP可能随服务器扩容、实例更换变动，后续维护成本高，且存在IP泄露被冒用的风险
• 若采用前端直传：该配置完全不适用，因为请求来源是终端用户IP，无法提前枚举添加

三、更优实现方案 #

1. 后端中转上传场景 #

• 虚拟网络+私有链接：将网站服务器所在的虚拟网络与存储账户建立私有链接，存储账户仅允许来自该虚拟网络的流量访问。无需依赖公网IP，避免IP变动导致的规则失效，同时实现流量内网传输，安全性更高
• 托管标识认证：给网站服务器（如Azure App Service、VM）分配系统托管标识，为该标识授予存储账户的Blob Contributor权限。存储账户防火墙可设置为允许信任的Microsoft服务（或结合虚拟网络），无需管理存储密钥，彻底避免密钥泄露风险

2. 前端直传场景 #

• 带IP限制的SAS令牌：由网站后端生成具有有效期、上传权限的服务级SAS令牌，同时指定仅允许自有服务器的IP范围（或用户IP的合理范围）。前端凭借该令牌直传文件，存储账户防火墙可配合限制SAS请求的来源
• Azure AD OAuth2.0认证：前端通过网站后端获取Azure AD访问令牌，用令牌访问存储账户。结合Azure AD条件访问策略，限制仅来自自有网站域名的请求，同时存储账户可配置仅允许Azure AD认证的流量

四、快速验证方法 #

临时将存储账户网络设置改为“允许所有网络访问”，若此时能正常上传，说明问题出在防火墙规则配置；若仍提示未授权，需排查API调用的认证信息（如存储密钥是否正确、SAS令牌是否过期、权限是否足够）

内容的提问来源于stack exchange，提问作者ltog