Terraform部署Azure Web App无法向存储Blob写入.NET日志问题求助

不需要手动创建存储Blob，日志写入逻辑由你的.NET应用或Azure内置诊断功能自动完成，手动创建Blob不会解决写入失败的问题，当前问题由配置错误和权限缺失导致，具体如下：

• 核心配置错误：App Service配置的DIAGNOSTICS_AZUREBLOBCONTAINERSASURL参数值错误，该参数要求传入带SAS令牌的容器完整访问URL，你当前传入的是容器名称，完全不符合要求。
• 权限缺失：你仅为Web App的系统分配身份配置了Key Vault的读取权限，未授予存储账户的Blob写入权限，日志写入需要Storage Blob Data Contributor级别的RBAC权限。
• 配置逻辑矛盾：你注释了App Service内置的storage_account诊断配置块，同时也没有在应用代码侧正确适配当前的存储连接字符串配置，导致两边的写入逻辑都不生效。
• Key Vault配置未闭环：你将Key Vault URL配置到了App Setting中，但没有把存储账户的连接字符串、SAS令牌等敏感信息存入Key Vault，也没有在App Setting中引用对应的Key Vault密钥，Key Vault的配置没有实际生效。

修复步骤 #

1. 新增Web App到存储账户的RBAC角色分配，添加如下Terraform资源：

resource "azurerm_role_assignment" "web_app_blob_contributor" {
  scope                = azurerm_storage_account.website_log_storage.id
  role_definition_name = "Storage Blob Data Contributor"
  principal_id         = azurerm_app_service.website_app.identity[0].principal_id
}

2. 生成存储容器的合法SAS令牌，添加如下数据源：

data "azurerm_storage_account_sas" "log_container_sas" {
  connection_string = azurerm_storage_account.website_log_storage.primary_connection_string
  https_only        = true
  signed_version    = "2021-08-06"
  start             = timestamp()
  expiry            = timeadd(timestamp(), "87600h") # 有效期10年，可根据需求调整
  resource_types {
    container = true
    object    = true
    service   = false
  }
  services {
    blob = true
    queue = false
    table = false
    file  = false
  }
  permissions {
    read   = true
    write  = true
    list   = true
    add    = true
    create = true
    delete = false
  }
}

3. 修正App Service的应用配置：

app_settings = {
  "KEY_VAULT_URL"                        = azurerm_key_vault.nscsecrets.vault_uri
  # 替换为带SAS的完整容器URL
  "DIAGNOSTICS_AZUREBLOBCONTAINERSASURL" = "${azurerm_storage_container.website_logs_container.id}?${data.azurerm_storage_account_sas.log_container_sas.sas}"
  "DIAGNOSTICS_AZUREBLOBRETENTIONINDAYS" = 365
  # 若需要从Key Vault读取存储连接字符串，提前将存储连接字符串存入Key Vault名为StorageAccount的密钥，再打开下方注释即可
  # "StorageAccount" = "@Microsoft.KeyVault(SecretUri=${azurerm_key_vault_secret.storage_account_connection_string.id})"
}

4. 确认.NET应用的日志配置：如果你是用Serilog、NLog等应用层日志库写Blob，确认日志库的配置读取的连接字符串名称和你App Service中配置的StorageAccount一致，没有硬编码错误。

修改完成后重新执行terraform apply部署，触发应用重启后即可正常写入日志。

内容的提问来源于stack exchange，提问作者Jason