Azure功能存储帐户网络安全

Question

我目前正在与一个客户合作，该客户要求尽可能多地锁定所有Azure资源的访问权限，我对Azure功能使用的存储帐户有问题。

在门户中的防火墙和虚拟网络刀片设置为“所有网络”后，我可以部署到功能应用程序，它运行时不会出现问题。

然而，一旦我通过检查“选定网络”启用访问限制，无论我输入的是什么虚拟网络子网或IP地址，我都无法使通信正常工作

我已经输入了我们基于消费的功能应用程序的出站IP地址，还检查了Powershell和所有应用程序中的其他IP地址是否已添加到白名单中。我还添加了本地Azure数据中心的所有CIDR IP范围，但同样不起作用。

我们遇到的问题是，一旦访问限制到位，我们就无法部署到功能应用程序，应用程序不再运行。是否支持此方案，以及限制对存储帐户的访问的机制是什么，以便只有函数应用程序可以使用它。

Answer 1

据我所知，你有两个选项来限制从功能应用程序或web应用程序访问你的存储帐户。

1. 将存储帐户防火墙中功能应用的外部IP地址和可能的外部IP地址列为白名单。但是，如果位于同一地区的Azure function应用程序和Azure storage引用Sam的答案，则该功能不起作用

从函数命中存储帐户时，由于它们彼此位于同一区域，所有流量都会通过内部IP上的内部Azure网络，而不是Web应用中列出的公共IP，因此不允许通过防火墙。

有时，网络的部署顺序很重要。在这种情况下，您将部署以下各项：

首先，可以使用未使用的子网部署新的VNet集成。完成VNet集成并重新启动功能应用程序后，可以为此子网启用服务endpoint。最后，您可以在存储帐户的防火墙中添加子网。

请注意，新版本目前正在预览中。您还可以检查这些特征，并从该线程获得更多参考。