Azure存储账户防火墙规则对表、队列生效，却阻断Blob、文件存储访问的问题咨询

这问题我之前踩过坑，一开始完全摸不着头脑，后来查了细节才搞明白——Azure存储不同服务对防火墙规则的执行逻辑居然不一样！

核心原因：存储服务间的防火墙规则执行差异 #

Azure存储账户的防火墙/虚拟网络规则，在Blob、文件存储和表、队列存储上的生效条件是有区别的：

• Blob、文件存储：不管你用共享密钥还是Azure AD身份验证，防火墙规则都会严格强制执行，不在允许IP列表里的请求直接被拦截。
• 表、队列存储：默认情况下，只有当你使用Azure AD身份验证访问时，防火墙规则才会生效；如果用传统的共享密钥（账户名+账户密钥）访问，防火墙规则会被直接绕过，所以哪怕你的IP不在规则里，也能正常访问。

这就是你碰到的情况：你大概率是用共享密钥访问表和队列，所以绕过了防火墙；而Blob/文件的访问触发了规则拦截，导致报错Unable to retrieve child resources. This request is not authorized to perform this operation。

具体解决步骤 #

1. 检查Storage Explorer的认证方式 #

打开Azure Storage Explorer，找到你的存储账户：

• 右键点击账户，选择「属性」
• 查看「认证类型」：如果显示是「账户密钥」，那就是这个原因了
• 建议切换为Azure AD身份验证（用你的Azure办公/个人账户登录），这样所有存储服务都会遵守防火墙规则，要么都能访问（IP在规则内），要么都被拦截，不会再出现差异。

2. 确认防火墙规则的IP准确性 #

登录Azure门户，进入存储账户的「网络」选项卡：

• 仔细核对「允许的IP地址」列表里的地址，确保和你当前的公网IP完全一致（可以直接搜索“我的IP”查看当前公网地址）
• 如果你的IP是动态分配的，可能过段时间会变化，导致不在规则里，这种情况可以考虑添加一个IP段，或者申请静态公网IP。

3. 按需启用「受信任的Microsoft服务」例外（可选） #

如果你确实需要通过某些Microsoft服务中转访问（比如从Azure内部的服务访问），可以在「网络」选项卡的「例外」部分，勾选「允许受信任的Microsoft服务访问此存储账户」——不过这个选项会放宽权限，建议优先保证IP规则准确，非必要不要启用。

验证方法 #

修改认证方式或更新IP规则后，重新在Storage Explorer里访问Blob存储：

• 如果用Azure AD登录且IP在规则内，应该能正常加载资源；
• 如果还是报错，去Azure门户的存储账户「监控 -> 日志」里查看被拦截的请求IP，确认是不是当前使用的IP和规则里的不一致。

内容的提问来源于stack exchange，提问作者Code Monkey