EC2实例IIS上的应用无法上传文件至Azure Blob存储问题咨询

本地环境运行代码可正常完成Azure Blob存储文件上传，相同代码部署到EC2实例托管的IIS服务后，上传操作失败。

• 出站网络策略拦截
  EC2实例关联的安全组、子网网络ACL、Windows防火墙出站规则默认可能未放通到Azure Blob存储端点的443端口出站流量，本地开发环境通常无严格出站限制所以访问正常。可直接在EC2实例上执行端口连通性命令验证：Test-NetConnection <你的存储账号名>.blob.core.windows.net -Port 443，如果连通失败优先排查安全组规则、VPC路由、NAT网关配置是否正确。
• IIS应用池身份权限不足
  本地调试时代码通常运行在当前登录的开发用户身份下，拥有临时目录读写、外网访问的完整权限；IIS默认使用低权限内置账号（ApplicationPoolIdentity、Network Service）作为应用池运行标识，这类账号既可能没有上传流程所需的系统临时目录读写权限，也可能被组策略限制主动发起外网HTTPS请求。可临时将应用池标识改为本地管理员账号测试，如果功能恢复，再针对性给默认池账号分配对应最小权限即可。
• 代理配置不生效
  如果EC2所在网络需要通过正向代理访问公网，本地开发环境通常已经在用户级环境变量中配置了HTTP_PROXY/HTTPS_PROXY参数，Azure SDK可自动读取该配置；但IIS托管的应用默认读取系统级环境变量，不会加载当前登录用户的代理配置，会出现直连不通、代理未加载的问题。需要在web.config或Blob客户端初始化代码中显式配置代理参数，或配置系统级代理环境变量后重启IIS生效。
• TLS版本不兼容
  Azure Blob存储目前强制要求TLS 1.2及以上版本的加密连接，本地开发环境的系统、.NET运行时通常默认开启TLS 1.2支持；但低版本Windows Server（2012 R2及更早）默认未开启系统级TLS 1.2支持，IIS发起的HTTPS请求会使用低版本TLS握手，直接被Azure侧拒绝。可通过修改服务器注册表开启TLS 1.2支持，或在Blob客户端初始化代码中显式指定协议版本：ServicePointManager.SecurityProtocol = SecurityProtocolType.Tls12;
• 身份凭据丢失
  本地调试时可能使用了存储在本地用户凭据管理器的访问密钥、Visual Studio内置的Azure身份凭据完成认证，这类本地上下文凭据不会随代码部署到IIS服务器，导致部署后Blob客户端拿不到有效认证信息，被Azure返回403权限错误。需要在部署后的应用配置中显式填写存储账号连接字符串，或为应用池配置对应权限的托管标识，不要依赖本地开发环境的上下文凭据。
• IIS默认请求拦截
  IIS默认内置请求大小限制、连接超时规则，本地调试用的Kestrel等开发服务器通常无严格限制，上传大文件时，IIS可能在请求到达应用代码前就因内容长度超限拦截请求，或因应用请求路由模块的超时配置短于大文件上传所需时长，中途中断上传流程。可针对性调整IIS站点请求过滤规则的最大内容长度、连接超时参数适配上传场景。

内容的提问来源于stack exchange，提问作者Debashis Mohapatra