如何在Azure存储账户中完全禁用快照功能？

首先明确：Azure存储账户目前没有提供原生的全局一键关闭快照功能的入口，你可以通过以下两种方式组合实现彻底禁用的效果：

1. 配置Azure Policy强制拦截快照创建 #

这是最稳妥的拦截方案，从资源管控层面直接阻止所有快照创建操作，不会因为权限分配疏漏失效：

• 自定义Azure Policy规则，将规则效果设置为Deny，匹配操作限定为以下两类快照相关操作：
  • Microsoft.Storage/storageAccounts/blobServices/containers/blobs/snapshots/write
  • Microsoft.Storage/storageAccounts/blobServices/containers/blobs/takeSnapshot/action
• 规则配置完成后，将策略分配到对应需要禁用快照的存储账户、所属资源组或者订阅范围即可，策略生效后所有符合范围的存储账户都无法创建新快照。

2. 调整RBAC权限回收快照操作权限 #

如果仅需要对部分主体禁用快照操作，可以直接调整角色权限：

• 梳理对应存储账户的所有角色分配，移除不需要快照权限的用户、服务主体的快照创建、管理权限
• 自定义角色时，直接在角色的权限排除项中添加上述快照相关操作，即可避免相关主体发起快照创建请求。

现有冗余快照清理 #

如果之前已经生成了不需要的快照，可以通过以下方式批量删除：

• 使用Azure PowerShell执行批量清理命令，参考命令：Get-AzStorageBlob -Container <目标容器名> -IncludeSnapshot | Where-Object {$_.SnapshotTime -ne $null} | Remove-AzStorageBlob
• 也可以通过Azure Storage Explorer筛选出所有快照后手动批量删除。

提示：两种方案组合使用可以达到最严格的禁用效果，避免产生不必要的快照成本。

内容的提问来源于stack exchange，提问作者Hossein Fallah