Azure门户部署Logic App时存储账户创建文件共享报403错误排查

认知验证 #

你关于可信服务通信的认知部分正确：开启「允许Azure可信服务访问」配置后，列入可信列表的Azure服务确实可以通过Azure骨干网和存储账户通信，无需走公网链路。但该配置不会放开存储账户的公网流量限制，公网访问仍然受IP白名单、虚拟网络规则的管控。
你添加Azure Resource Manager IP段的操作无法解决当前问题，因为部署阶段请求存储的主体不是ARM服务，而是你当前操作的用户身份和Logic App服务本身的身份。

可能的故障原因 #

• Logic App资源提供程序不在默认可信服务列表中。Azure官方的可信服务列表未默认包含Logic Apps服务，仅开启通用可信服务开关不会放行Logic App的访问请求。你需要为Logic App分配系统托管身份，并为该身份授予存储账户的「存储文件数据共享参与者」「存储Blob数据贡献者」等对应RBAC权限。
• 存储账户公网访问配置为完全禁用。如果存储账户的公网访问设置为禁用，仅允许私有端点流量，即便是Azure可信服务的骨干网访问也会被拦截，需要将公网访问设置为「已启用（选定的网络）」才能让可信服务规则生效。
• 创建操作使用的账号无存储写入权限。你在门户操作时使用的个人AAD账号是本次部署阶段请求存储的身份主体，若该账号没有存储账户的写入类权限，也会触发403报错，和ARM服务、Logic App服务本身的权限无关。你可以检查账号是否持有存储账户的「存储账户参与者」或更高权限。
• 存储账户配置了资源实例限制。如果你的存储账户网络规则中设置了仅允许特定资源ID的服务访问，需要提前将待创建的Logic App资源ID加入允许列表，或者暂时关闭资源实例限制完成部署后再重新配置。
• 私有端点DNS解析异常。如果使用私有端点对接存储账户，需要确保Logic App部署的虚拟网络和存储私有端点所在虚拟网络的DNS配置正确，能够正确解析存储账户的私有IP，否则也会出现访问被拒的问题。

内容的提问来源于stack exchange，提问作者ccoutinho