IP是否可以将Azure Blob存储容器列入白名单以仅接受来自特定Azure功能的请求

Question

我们当前正在尝试创建一种解决方案，该解决方案使用C＃编译的Function Apps（v2）处理Azure中的敏感数据。 由于应用程序服务环境对于我们所需的解决方案来说可能是昂贵的替代品，因此，我们首先尝试使用vnet集成，然后使用IP限制来确保我们的功能与通用blob存储（v1）队列和表之间的通信安全。 不幸的是，尝试通过IP限制从功能对Blob存储的访问不起作用-即使尝试将功能的外部IP的完整列表添加到Blob存储的允许IP中，当我们尝试连接时，它似乎总是失败并显示“ Forbidden”清单。 而且Blob存储不允许将函数的内部IP（在Kudu中为LOCAL_ADDR）添加到“允许的IP”列表中，因为它是内部IP，即使将整个Azure区域的IP地址添加到Blob存储中也不会似乎允许该功能连接。 唯一有效的方法是完全关闭IP限制，这将整个解决方案置于安全​​性低下的基础上（例如GDPR）。

是否有人设法找到解决此问题的方法？ 实际上是否可能，如果有的话，我们可能在哪里出错了？

Answer 1

我发现的最接近的解决方案是将功能应用程序连接到VNET，然后将存储帐户连接到相同的VNET，然后可以基于该VNET配置限制。 存储不特别支持Function的安全性和异常安全性，因为在“允许Azure信任的服务”下查找不包括Functions产品。

我建议你检查的第二部分， 该文件以帮助配置功能应用到互联星空，那么这一次用相同的vnet配置存储帐户，然后在存储防火墙加上限制。