azure - 将 azure 中的存储帐户防火墙中的跨租户子网列入白名单

Question

我想要从驻留在其他 Azure AD 租户(例如租户 ID T2)中的子网(例如 S1)访问驻留在 Azure AD 租户(例如租户 ID T1)中的存储帐户。使用 azure CLI，我能够在存储帐户的防火墙和虚拟网络选项卡中添加此现有通风口/子网。

AZ CLI:az 存储帐户网络规则 add -g myRG --account myAccount --subnet mySubnetId

但该子网的端点状态显示权限不足，而不是已启用。因此无法从添加的子网 S1 访问此存储帐户。

错误:无法检索一个或多个子网的端点状态。状态“权限不足”表示缺少子网读取权限(“Microsoft.Network/virtualNetworks/subnets/read”)。

详细错误:

You do not have authorization to access this resource.

Resource ID: /subscriptions/****/resourceGroups/my-network-rg/providers/Microsoft.Network/virtualNetworks/my-vnet

Status Code: 401

Status Message: The access token is from the wrong issuer 'https://sts.windows.net/T1/'. It must match the tenant 'https://sts.windows.net/T2/' associated with this subscription. Please use the authority (URL) 'https://login.windows.net/T2' to get the token. Note, if the subscription is transferred to another tenant there is no impact to the services, but information about new tenant could take time to propagate (up to an hour). If you just transferred your subscription and see this error message, please try back later.

我缺少哪些必要的跨租户权限？如何提供它们？任何帮助表示赞赏。虽然这可能微不足道，但由于我是 Azure 的新手，我不确定我在这里错过了什么。谢谢。

Answer 1

您已正确执行所有步骤，只是消息令人困惑:您已使用从租户 1 获取 token 的用户登录 Azure 门户，但 VNet 驻留在租户 2 中，并且您没有 token 可用于读取租户2中的子网数据。

要确认网络规则实际上设置正确，您可以运行

az storage account network-rule list --account-name myAccount

您应该看到一个“state”:“Succeeded”。

剩下要做的唯一一件事是确保访问来自子网的存储帐户的用户帐户具有 eligible role分配访问存储帐户。例如，如果用户应该能够读取和写入 Blob 数据，请为您的用户添加存储 Blob 数据贡献者角色。