修改存储账户连接字符串后Azure Function App返回401异常排查

你遇到的401问题和存储账户IP白名单配置没有关联，核心判断依据是仅配置了AuthorizationLevel.Anonymous的函数可正常访问，所有带权限校验的函数返回401，这个故障特征直接指向Functions运行时的访问密钥校验链路异常，和网络连通性无关。
触发问题的根因是：你更新AzureWebJobsStorage对应的存储连接字符串后，Functions运行时存储宿主密钥、函数级访问密钥的后端存储已经切换到新的存储账户，但新存储账户内没有对应的密钥结构和历史密钥数据，当请求携带密钥访问非匿名函数时，运行时无法在新存储中匹配到有效密钥记录，就会直接返回401 Unauthorized响应。

• 第一步校验存储账户基础配置
  确认新配置的存储账户为标准通用v2类型，同时开启了「允许存储账户密钥访问」开关；AzureWebJobsStorage对应的连接字符串必须包含Blob、队列、表三类服务的访问权限和终结点，不能只配置Blob服务连接串——Functions运行时默认将密钥数据存在表存储的AzureWebJobsHostKeys、AzureWebJobsFunctionKeys表中，连接串缺表服务访问权限时会直接导致密钥读取失败。
• 第二步重建密钥存储结构
  1. 进入Function App门户的「应用密钥」页面，点击顶部的「刷新密钥」按钮，触发运行时在新关联的存储账户中自动创建密钥对应的表结构、重新生成默认的宿主密钥和主函数密钥
  2. 如果你之前使用过自定义生成的函数访问密钥，需要手动在新存储的对应密钥表中补全记录，或者直接在门户重新生成对应函数的访问密钥，替换原有调用方使用的旧密钥
  3. 操作完成后在门户直接触发一次Function App的硬重启（不要用软重启，硬重启会清空所有运行时实例缓存）
• 长期优化配置
  不建议靠IP白名单打通Function App和存储账户的网络，Function的出站IP会存在动态变更的可能，后续容易再触发网络类故障。建议开启Function App的系统分配托管标识，给该标识分配存储账户的存储Blob、队列、表数据参与者角色，再将AzureWebJobsStorage的连接串替换为托管标识鉴权格式，从根源上避免连接串变更、IP变动带来的异常。
• 低优先级排查项
  如果上述操作完成后问题仍存在，检查是否开启了App Service身份验证（Easy Auth），确认身份验证规则没有拦截函数密钥校验的请求，不过该场景下匿名函数通常也会返回权限错误，和你当前的故障特征匹配度很低。

内容的提问来源于stack exchange，提问作者Palak