Azure Blob Storage加密Blob解密迁移方案可行性及性能优化咨询

合理点 #

• 复用Azure Data Factory(ADF)托管复制能力的思路是对的：ADF的Copy Activity原生支持读取由Key Vault密钥加密的源端Blob，自动完成解密逻辑，不需要你自行实现密钥拉取、解密的代码，比自研C#代码的稳定性和基础性能更强。
• 事件驱动的架构适合增量同步场景，10实例的App Service Plan可以支撑中等规模的并发触发需求。

存在的问题 #

• 触发逻辑错误：你当前计划绑定目标存储的新文件事件触发迁移，逻辑完全倒置，应该绑定源存储的Blob创建/更新事件才会触发新文件的同步。
• 链路冗余开销大：Event Grid触发Azure Function再调用ADF管道的链路太长，单Blob触发单管道执行的模式会带来大量ADF调度冷启动开销，小文件场景下反而会比你之前的自研代码性能更差，同时ADF的单次执行成本也会大幅升高。
• 并发上限不足：10个Function实例的上限面对百万级以上的小文件迁移场景时，会出现明显的触发堆积，无法充分利用云服务的并行能力。

根据你是做存量一次性迁移还是存量+增量持续同步，可以选择更轻量化更高性能的方案：

存量一次性迁移最优选项 #

• 直接使用官方命令行工具AzCopy v10：原生支持SSE-CMK加密Blob的自动读取解密，支持自定义--parallel-count参数调整并发度（可设置为32~256，根据源存储账户的性能配额调整），支持断点续传，你之前需要3天的迁移量，调整合适的并发度后最快几小时即可完成，全程不需要额外部署任何服务，零额外成本。
• 若需要托管式的迁移任务，直接使用ADF批量复制管道即可：不需要串联Event Grid和Azure Function，直接配置源存储数据集（授予ADF访问Key Vault的密钥解密权限）、目标存储数据集，在复制活动中调整并行度参数，ADF会自动拆分Blob列表并行拉取传输，比你当前的方案性能高3~5倍。

存量+增量持续同步最优选项 #

• 优先使用Azure Blob原生的*对象复制（Object Replication）*功能：直接在源存储账户配置到目标存储容器的复制规则，授予对象复制服务主体Key Vault的解密权限即可，底层由Azure托管的并行同步链路完成传输，延迟低至分钟级，不需要维护任何触发器、函数、管道，成本比你当前的方案低90%以上，自动实现解密写入目标存储。
• 若你需要在迁移过程中加入自定义逻辑，再考虑Event Grid+Azure Function的架构：直接在Function中调用Azure.Storage.Blobs SDK完成源Blob读取、目标Blob写入，Function改用弹性消费计划，不需要限制10个实例上限，可按需自动扩容最多上千个实例，充分满足高并发同步需求。

内容的提问来源于stack exchange，提问作者Sarang Kulkarni