Azure Blob Service公共访问级别自动从Private变为Blob的问题排查与设置

这种自动回退的情况我碰到过好几次，大概率是有自动化流程、Azure Policy或者权限过高的账户操作在后台悄悄修改设置，给你一步步拆解排查和解决方法：

一、排查问题根源 #

1. 检查Azure Policy分配 #

这是最常见的原因——如果你的订阅/资源组分配了强制Blob公共访问级别的Policy，它会定期自动修正资源配置，把你改的Private又改回Blob。

• 进入Azure门户，找到你的存储账户所在的订阅或资源组，进入「策略」→「分配」
• 搜索包含「Blob公共访问」「存储账户Blob服务」关键词的策略，查看是否有策略要求将公共访问级别设为Blob
• 如果找到对应策略，检查它的「修正」设置是否开启（开启的话会自动强制执行配置）

2. 深挖活动日志（别只看门户默认筛选） #

你说门户没看到活动日志，可能是筛选条件不对，试试用更精准的查询：

• 进入存储账户的「活动日志」，点击「添加筛选器」，选择「操作名称」，搜索Microsoft.Storage/storageAccounts/blobServices/write（这是修改Blob服务属性的操作）
• 如果还是找不到，用Azure Monitor的日志查询功能，运行Kusto语句：

AzureActivity
| where OperationNameValue == "Microsoft.Storage/storageAccounts/blobServices/write"
| where ResourceTypeValue == "Microsoft.Storage/storageAccounts/blobServices"
| where Resource == "<你的存储账户名称>/default"
| project EventTimestamp, OperationName, Caller, Properties

这个查询会列出所有修改Blob服务配置的操作，包括Policy自动修正的操作（Caller通常是Microsoft.Authorization/policyDefinitions相关的身份）

3. 检查自动化流程与CI/CD流水线 #

• 查看是否有Azure Automation Runbooks、Logic Apps、PowerShell/Azure CLI脚本在定时执行修改操作
• 检查你的CI/CD流水线（比如Azure DevOps Pipelines、GitHub Actions），看看部署步骤里有没有设置Blob公共访问级别的命令（比如az storage account blob-service-properties update --account-name <name> --public-access blob）

4. 核查RBAC权限与异常账户 #

• 进入存储账户的「访问控制（IAM）」，查看有哪些用户/服务主体拥有Owner、Contributor或Storage Account Contributor权限——这些角色都能修改Blob服务配置
• 检查是否有陌生的服务主体或最近新增的权限，可能是第三方工具或脚本在使用这些账户操作

二、永久设置为Private的解决方法 #

1. 根除根源问题 #

• 如果是Azure Policy导致的：要么修改Policy规则为要求Private，要么移除该Policy对存储账户的分配
• 如果是自动化脚本/流水线导致的：删除对应的设置步骤，或者修改脚本参数为--public-access off
• 如果是异常权限导致的：回收不必要的高权限，给用户/服务主体分配最小权限（比如只给Storage Blob Data Reader而非Contributor）

2. 设置资源锁阻止意外修改 #

给存储账户添加「只读」资源锁，这样任何用户（包括Owner）都无法修改存储账户的配置，除非先移除锁：

• 进入存储账户的「锁」→「添加」
• 选择「只读」锁类型，添加描述后保存

3. 用Azure Policy强制锁定为Private #

如果要确保永远不会被改成其他级别，分配内置的强制Policy：

• 进入「策略」→「定义」，搜索「存储账户的Blob服务应禁用公共访问」
• 分配该策略到你的订阅/资源组，开启「修正」功能——这样不仅会自动把Blob访问级别设为Private，还会阻止任何将其改成其他级别的操作

内容的提问来源于stack exchange，提问作者gringo_dave