Azure SQL漏洞评估存储账户启用防火墙后访问异常解决方法咨询

以下为除禁用存储账户防火墙外的可行排查和修复步骤：

• 确认SQL Server托管身份与权限配置正确
  为你的SQL Server实例启用系统分配托管身份，同时为该身份授予存储账户的「存储Blob数据参与者」角色权限，确保扫描服务有权限向存储账户写入结果文件。如果漏洞评估使用用户分配托管身份，需确认配置中指定的托管身份ID正确，且对应身份已被授予对应存储权限。
• 添加对应区域SQL服务IP段到存储防火墙白名单
  受信任服务列表规则存在少量场景下的适配问题，你可以将SQL实例所在Azure区域的SQL服务公网IP段添加到存储账户的防火墙允许列表，确保服务间的公网调用可以正常通行。
• 校验存储账户基础配置合规性
  确认存储账户未启用分层命名空间（即不是ADLS Gen2类型存储），不使用高级块Blob存储账户，且存储账户与SQL实例归属同一Azure租户，跨租户场景下受信任服务访问规则默认不生效。
• 通过专用终结点实现内网访问
  为SQL Server和存储账户分别配置同一虚拟网络下的专用终结点，同时在存储账户防火墙规则中添加对应虚拟网络子网的访问权限，服务间流量走微软内部网络，无需开放公网访问即可正常通信。
• 排查订阅/管理组级别的访问策略限制
  检查你的Azure订阅或上层管理组是否配置了限制存储账户网络规则的Azure Policy，若存在强制禁用受信任服务访问、强制限制IP范围的策略，需调整对应策略规则后配置才会生效。

内容的提问来源于stack exchange，提问作者JeffStoker