由于防火墙，无法从VM访问Azure blob存储

Question

我有一个powershell脚本，它在连接到Azure blob存储和AzureSQL的Azure VM中运行。blob存储和SQL都受到防火墙的保护，blob存储是VNet的一部分。VM位于自己的VNet上。我将VM的IP地址插入Azure存储和sql azure中。对AzureSQL访问很好，但是当我尝试连接到blob存储时，我收到错误消息

“Get-AzStorageContainer：未授权此请求执行此操作。HTTP状态代码：403-HTTP错误消息：未授权此请求执行此操作。错误代码：AuthorizationFailure”。

我正在使用连接字符串访问blob存储。如果我从我的PC（其IP地址已输入防火墙）连接，我可以毫无问题地获得访问权限。如果我使用Azure存储资源管理器中的连接字符串从VM访问blob存储，我会收到相同的错误消息。

如果我禁用Blob存储上的防火墙，那么我可以使用powershell和存储资源管理器从VM很好地访问它。

不确定这是否相关，但如果我在VM上执行Get-NetIPAddress|Format-Table，我会报告一个IPv6 IP地址，而不是我在其他任何地方和防火墙中使用的IPv4。

这可能是相关的，但不知道如何证明这一点：Azure存储帐户防火墙规则适用于表，但会破坏blob存储

有人能提出这种奇怪行为的原因吗？如何在不禁用防火墙的情况下从虚拟机可靠访问blob存储？

Answer 1

不确定您是否说过“blob存储是VNet的一部分”。但在这种情况下，您可以在VNet（位于虚拟机的）内启用Azure存储的服务endpoint，并将其子网添加到blob存储的虚拟网络中。您不需要将虚拟机的IP地址添加到存储帐户的防火墙。

参考：http://techtalk.cloud/azure-vnet-integration-service-endpoints-for-azure-storage/

如果存储帐户和虚拟机位于同一区域，则流量将通过Azure主干网络。我在另一个地区的虚拟机上试用了它，然后将Azure虚拟机的静态公共IP列入白名单，放到存储帐户的防火墙上，效果很好！

注意事项

IP网络规则对源自与存储帐户相同的Azure区域的请求没有影响。使用虚拟网络规则允许相同区域的请求。

部署在与存储帐户相同区域中的服务使用专用Azure IP地址进行通信。因此，您不能根据特定Azure服务的公共出站IP地址范围限制对其的访问。

参考：https://docs.microsoft.com/en-us/azure/storage/common/storage-network-security#grant-从internet ip范围访问