Azure私有存储账户创建容器报PublicAccessNotPermitted错误

PublicAccessNotPermitted报错和客户端是否部署在私网没有直接关系，核心问题出在代码参数配置上，同时存在一处私网访问的配置隐患：

• 触发本次报错的直接原因：你调用容器创建方法c.Create()时传入的访问级别参数为azblob.PublicAccessContainer，该参数的作用是开启对应容器的匿名公网读取权限。但你已经在存储账户层面全局禁用了公网公共访问，存储侧不允许任何容器被配置为公网可访问状态，因此直接拒绝了创建请求，返回409状态码。
  报错提示里的中文翻译存在歧义，它实际表达的是「存储账户不允许为容器配置公网访问权限」，而非「你的请求来自公网被拒绝」。
• 潜在的网络配置问题：你代码中拼接的存储访问地址是Azure存储默认公网域名<accountname>.blob.core.windows.net，如果没有为AKS所在VNET配置对应的DNS解析规则，客户端默认会将该域名解析到存储的公网IP，即使已经创建了私有终结点，流量也会先走公网链路，后续可能触发网络层面的访问拦截。

• 代码参数修复：创建容器时将公共访问级别参数改为azblob.PublicAccessNone，即创建私有容器、不开放任何匿名公网访问，修改后的代码片段如下：

_, err = c.Create(
    ctx,
    azblob.Metadata{},
    azblob.PublicAccessNone) // 替换原代码中的azblob.PublicAccessContainer
if err != nil {
    return err
}

• 私网配置校验：
  • 确认AKS集群所在VNET已正确关联存储账户的私有终结点，且存储账户防火墙规则已放通该VNET的访问权限
  • 验证DNS解析生效：在AKS的业务Pod中执行nslookup <你的存储账户名>.blob.core.windows.net，如果返回的IP是私网网段地址，说明私网链路配置正常；如果返回公网IP，需要调整VNET的DNS配置，将存储域名解析到私有终结点地址。

内容的提问来源于stack exchange，提问作者J.Cage