如何使用PowerShell为App Service/Web应用启用存储账户备份

核心问题定位 #

你当前报错90%以上的原因是生成的SAS令牌有效期过短、权限配置不符合要求，其次是存储账户网络限制导致访问拦截，按以下步骤排查修复即可： #

1. 修正SAS令牌生成逻辑 #

你当前使用的New-AzStorageContainerSASToken命令未指定过期时间，Azure默认生成的SAS令牌有效期仅为1小时，执行到后续备份配置命令时大概率已经过期失效。
修改SAS生成代码，延长有效期并明确权限：

# 原代码其他部分无需修改，仅替换SAS生成语句即可
# 设置SAS有效期为3年，匹配备份长期运行要求
$r=New-AzStorageContainerSASToken -Context $con -Name $containerName -Permission rwdl -ExpiryTime (Get-Date).AddYears(3) -FullUri

2. 检查存储账户网络访问配置 #

如果存储账户开启了公网访问限制，需放行App Service的访问请求：

• 打开目标存储账户的「网络」配置页，勾选允许受信任的Azure服务访问此存储账户选项
• 若App Service配置了VNet集成，需将App Service所在的VNet子网添加到存储账户的虚拟网络访问白名单中
• 若使用公网访问，可将App Service的所有出站IP添加到存储账户的IP白名单中

3. 检查权限配置 #

• 确认执行PowerShell命令的Azure账号对目标存储账户有存储账户参与者及以上的RBAC权限
• 确认存储账户未配置只读资源锁，避免写入操作被拦截

4. 验证配置 #

修改后执行以下命令手动触发一次备份，验证权限是否正常：

New-AzWebAppBackup -ResourceGroupName $resourceGroupName -Name $webappname -StorageAccountUrl $r

若命令正常返回备份任务信息则代表配置生效，后续可正常执行定时备份配置。

内容的提问来源于stack exchange，提问作者twinkle hema