Azure Function消费EventHub时使用连接字符串触发报401未授权错误

核心问题是你当前用SAS密钥认证的方式，无法匹配Event Hub的「允许受信任的Microsoft服务」规则，该规则仅对使用Azure托管身份访问的第一方服务生效，你需要补充以下配置：

方案1：继续使用SAS密钥连接 #

直接将Azure Function的所有出站IP加入Event Hub的IP白名单即可：

1. 进入Function App的「属性」页，找到「出站IP地址」字段，复制所有列出的IP
2. 进入Event Hub命名空间的「网络」页，将复制的所有IP逐个添加到防火墙允许列表中，保存配置后等待1-2分钟生效
3. 额外检查你的连接字符串配置：
   如果你用的SAS是单个Event Hub实例级（不是命名空间级）的策略，需要在连接字符串末尾补充EntityPath=feed-ordini，完整格式如下：

   Endpoint=sb://[hub-host].servicebus.windows.net/;SharedAccessKeyName=[SasPolicyName];SharedAccessKey=[primarykey];EntityPath=feed-ordini
   

   同时确认SAS策略没有被禁用、没有设置过期时间，密钥更新后要同步更新Function的应用配置。

方案2：改用托管身份认证（无需添加IP白名单） #

这种方式可以直接匹配「允许受信任的Microsoft服务」规则，安全性更高：

1. 进入Function App的「身份标识」页，开启「系统分配的托管身份」，保存后会生成一个服务主体
2. 进入Event Hub命名空间的「访问控制（IAM）」页，点击「添加角色分配」，搜索并选择「Azure Event Hub 数据接收者」角色，下一步后选择刚才开启的Function托管身份，完成分配
3. 修改Function的应用配置：删除原来的AzureEventHubConnectionString配置，新增配置AzureEventHubConnectionString__fullyQualifiedNamespace，值为[hub-host].servicebus.windows.net
4. 你的Java代码不需要做任何修改，EventHubTrigger注解的connection参数保持AzureEventHubConnectionString即可

额外排查项 #

• 如果Event Hub开启了专用终结点，需要确保Function已经配置了VNet集成，和Event Hub的专用终结点在同一VNet或可路由的网络环境中
• 确认Function应用配置的连接字符串名称和注解中的名称完全一致，Azure应用配置为大小写敏感

内容的提问来源于stack exchange，提问作者Esotopo21