IP是否可以將Azure Blob存儲容器列入白名單以僅接受來自特定Azure功能的請求

Question

我們當前正在嘗試創建一種解決方案，該解決方案使用C＃編譯的Function Apps（v2）處理Azure中的敏感數據。 由於應用程序服務環境對於我們所需的解決方案來說可能是昂貴的替代品，因此，我們首先嘗試使用vnet集成，然后使用IP限制來確保我們的功能與通用blob存儲（v1）隊列和表之間的通信安全。 不幸的是，嘗試通過IP限制從功能對Blob存儲的訪問不起作用-即使嘗試將功能的外部IP的完整列表添加到Blob存儲的允許IP中，當我們嘗試連接時，它似乎總是失敗並顯示“ Forbidden”清單。 而且Blob存儲不允許將函數的內部IP（在Kudu中為LOCAL_ADDR）添加到“允許的IP”列表中，因為它是內部IP，即使將整個Azure區域的IP地址添加到Blob存儲中也不會似乎允許該功能連接。 唯一有效的方法是完全關閉IP限制，這將整個解決方案置於安全​​性低下的基礎上（例如GDPR）。

是否有人設法找到解決此問題的方法？ 實際上是否可能，如果有的話，我們可能在哪里出錯了？

Answer 1

我發現的最接近的解決方案是將功能應用程序連接到VNET，然后將存儲帳戶連接到相同的VNET，然后可以基於該VNET配置限制。 存儲不特別支持Function的安全性和異常安全性，因為在“允許Azure信任的服務”下查找不包括Functions產品。

我建議你檢查的第二部分， 該文件以幫助配置功能應用到互聯星空，那么這一次用相同的vnet配置存儲帳戶，然后在存儲防火牆加上限制。