配置了托管标识的Azure App Service为何无法连接Azure存储账户？

核心问题根因 #

你当前的配置矛盾点在于：App Service使用托管标识访问存储账户时，流量走Azure内部骨干网，不会使用你在App Service概览页看到的公网出站IP，所以你添加的公网IP白名单完全不生效，而“允许受信任服务访问”的默认规则不覆盖用户分配/系统分配托管标识的访问场景，因此触发未授权报错。

修复步骤 #

• 方案1（推荐，更安全）：配置App Service VNET集成
  把App Service接入存储账户所在的同一个VNET，开启VNET集成功能，同时在存储账户的VNET防火墙配置中，放行App Service集成的子网，无需额外配置公网白名单。
• 方案2（无需接入VNET）：配置存储账户资源实例放行规则
  在存储账户的网络配置页，找到「资源实例」规则板块，添加规则：
  • 资源类型选择Microsoft.Web/sites
  • 实例选择你当前的App Service
    保存后等待5分钟生效，该规则会直接放行该App Service对存储的内部访问流量，不受公网IP限制。
• 额外必做检查项
  • 确认你代码中DataProtection对接Blob存储的依赖包已替换为新版Azure.Storage.Blobs，旧版Microsoft.Azure.Storage系列包已停止维护，对托管标识、VNET场景兼容性存在已知问题。
  • 确认RBAC角色是分配给了App Service对应的正确托管标识（区分系统分配/用户分配），且至少分配了存储Blob数据参与者权限到密钥存储的目标容器层面即可，不需要分配存储账户所有者等高权限角色。
  • 可通过App Service的Kudu控制台执行Azure CLI命令，使用托管标识尝试访问目标Blob容器，快速判断是权限问题还是网络问题。

内容的提问来源于stack exchange，提问作者user5283666