从Azure函数应用访问带防火墙的Azure Blob Storage问题排查

我来帮你梳理几个可能导致这个问题的常见原因，你可以逐一排查：

• 确认Function的出站IP是否全部添加到白名单
  消耗（动态）计划的Azure Function会有一组出站IP地址，而非单个IP。你需要确保所有列出的出站IP都被添加到Blob存储的防火墙允许列表中。可以通过Function App的「网络」→「出站IP地址」页面查看，或者用Azure CLI命令批量获取：

  az functionapp show --resource-group <你的资源组名> --name <你的Function App名> --query outboundIpAddresses
  

  手动复制时很容易漏加一两个IP，这是最常见的踩坑点。

• 检查是否启用了VNet集成导致IP规则失效
  如果你的Function App配置了VNet集成（尤其是区域VNet集成），那么Function的出站流量会从VNet的子网IP发出，而非原来的出站IP地址。这种情况下，你需要把VNet的子网添加到Blob存储的「虚拟网络」允许列表中，而不是Function的出站IP。

• 验证身份验证方式是否正确
  IP白名单只是访问控制的一层，你还需要确保Function访问Blob存储时使用的身份验证是有效的：

  • 如果用托管标识（Managed Identity）：要确保该标识被授予了Blob存储的对应权限（比如Storage Blob Data Contributor），并且代码中正确使用了标识进行认证。
  • 如果用存储账户密钥或SAS令牌：要确认密钥/令牌没有过期、权限范围足够（比如允许读取/写入操作）。

• 检查存储账户防火墙的其他设置

  • 确认你修改的是目标Blob存储账户的防火墙规则，避免选错了存储账户。
  • 如果你的Function属于「受信任的Microsoft服务」，但你没有开启Blob存储防火墙设置中的「允许受信任的Microsoft服务访问此存储账户」选项，那么即使IP在白名单里，也可能出现异常（这条通常不是主因，但可以作为补充排查点）。

• 排查代理或路由异常
  如果你的Function App配置了出站代理，那么实际的出站IP是代理服务器的IP，而非Function的原生出站IP。这种情况下需要把代理的IP地址添加到Blob存储的白名单中。

• 模拟IP访问测试
  你可以用curl命令模拟从某个Function出站IP访问Blob存储，验证IP规则是否生效：

  curl -v https://<你的存储账户名>.blob.core.windows.net/<容器名>/<Blob文件名> --resolve <你的存储账户名>.blob.core.windows.net:443:<Function出站IP>
  

  如果这个请求仍然失败，说明IP规则可能没正确应用；如果成功，那问题可能出在Function的身份验证或代码逻辑上。

内容的提问来源于stack exchange，提问作者NightOwl85