Azure Web App部署后无法访问Azure Storage报403授权错误如何解决？

1. 网络配置类遗漏问题 #

• 已添加的公网IP与Web API实际出站IP不符：若Web API部署在Azure App Service，其公网出站IP分为基础出站IP与附加出站IP，仅添加页面显示的部分IP会导致访问拦截；若Web API开启了VNet集成、出站流量走NAT网关或Azure防火墙，实际出站IP为NAT/防火墙资源的公网IP，而非App Service本身展示的IP。
• 存储账户防火墙规则未生效：IP规则新增后最长存在30秒的生效延迟，同时需确认规则未配置错误的IP段/掩码，也未被更高优先级的拒绝规则覆盖。
• 未开启存储账户的可信服务访问例外：若Web API为Azure原生服务（App Service、Azure Function等），可勾选存储账户防火墙的「允许受信任的Microsoft服务访问此存储账户」选项，该规则优先级高于IP白名单规则。
• Web API侧存在出站限制：检查Web API所在子网的NSG规则是否禁止443端口出站到存储服务，或是否存在Azure Policy强制流量走私有链路，导致公网访问存储被拦截。

2. 身份授权类问题（易与网络403混淆） #

• 本地与部署环境的凭证权限不一致：本地测试时通常会调用VS、Azure CLI登录的用户凭证完成授权，部署到Azure后未给Web API的托管身份分配存储账户对应RBAC角色（如存储Blob数据参与者、存储队列数据参与者等）；若使用连接字符串认证，需确认发布后环境变量中的存储连接字符串与本地配置完全一致，无账户名、密钥、SAS令牌的配置错误。
• SAS令牌配置无效：检查使用的SAS令牌是否已过期、IP限制规则是否包含Web API实际出站IP、权限范围是否覆盖当前执行的操作（如只读SAS执行写入操作会触发403）。
• 存储账户开启强制Azure AD授权：若存储账户配置了禁止共享密钥访问的策略，即使使用正确的账户密钥也会被拦截，需调整策略或为访问身份分配对应RBAC权限。

3. 其他配置问题 #

• ADLS Gen2权限不足：若存储账户启用了层级命名空间（ADLS Gen2），仅配置容器级RBAC权限不足以完成目录、文件级别的操作，需额外配置对应资源的ACL权限。
• 实例时间不同步：若Web API运行实例的系统时间与Azure标准时间偏差超过15分钟，所有带签名的存储请求都会因签名无效返回403授权错误。

内容的提问来源于stack exchange，提问作者Ricardo