azure - 使用虚拟网络从 Azure 应用服务到 Blob 存储的防火墙访问

Question

最初，我尝试使用 IP 地址限制应用服务对 Blob 存储的访问，但事实证明，您只能使用虚拟网络来执行此操作: Firewall access from Azure app service to blob storage

我希望能够在不设置点到站点 VPN 的情况下实现这一目标。我在 Azure 中设置虚拟网络所采取的步骤如下:

• 已创建网络安全组“securitygroup-frontend”，添加自定义名为 Web 的入站规则，带有源:服务标签、源服务标签:Internet，源端口范围:*，目标:任意，目标端口范围:80、443，协议(protocol):任意，操作:允许，优先级:100
• 使用网络安全组创建了地址空间为 192.168.0.0/23 的虚拟网络和名为前端地址范围 192.168.0.0/26 的子网:安全组前端以及对 Microsoft.Web/serverFarms 和服务端点 Microsoft.Storage 的子网委托(delegate)<
• 转到应用服务 -> 网络 -> 配置 VNet 集成 ->添加 VNet 预览并选择您创建的子网
• 转到存储 -> 防火墙和虚拟网络 -> 配置 VNet 集成 -> 选择“选定网络”并添加刚刚创建的虚拟网络和子网。

我必须将 Azure 诊断和日志(例如 Key Vault、服务总线和 sql azure)移至其自己的 Blob 存储，因为这些需要虚拟网络外部的 Blob 存储，并且无法在虚拟网络内部工作。该应用程序服务位于标准计划中。应用服务、blob 存储和虚拟网络都位于同一区域。

此问答不提供任何见解:https://social.msdn.microsoft.com/Forums/azure/en-US/9f4d8aeb-68a6-4ec1-9e11-bee2d1301792/allow-access-to-azure-storage-account-only-from-an-app-service?forum=windowsazurewebsitespreview

上述步骤虽然阻止了从应用服务对 blob 存储和其中的任何 Assets 的访问，但会返回错误:(403) 禁止。如果我从 blob 存储中删除虚拟网络，它就可以正常工作。我做错了什么？

Answer 1

是的，您可以使用 VNet 执行此操作，但您需要使用 App Service Environments 在 VNet 中部署 Web 应用程序。您不能使用 VNet integration 执行此操作。 Integrating Azure services to an Azure virtual network允许从虚拟网络中的虚拟机或计算资源对服务进行私有(private)访问。但是，常规应用程序服务计划中的 Web 应用程序服务是 Multi-Tenancy 的。借助 ASE，您可以将其部署到您的 VNet 中。

您可以从类似的 thread 获得更多详细信息和解释。根据来自silent的评论，您还可以考虑将您的Web应用程序部署在容器内，该容器可以部署在VNet中但有一些限制。

更新

有时，网络的部署顺序很重要。在您的情况下，您可以在 VNet 集成之前启用服务终结点。我建议删除集成应用子网 VNet 中的 NSG 限制进行测试。然后您可以检查以下步骤。

首先，您可以部署与未使用的子网的新 VNet 集成。 VNet 集成完成并重新启动 Web 应用程序后，您可以为此子网启用服务终结点和子网委派。最后，您可以在存储帐户的防火墙中添加子网。

新版本目前处于预览阶段，尚未正式发布。可能并非所有功能都可用。您还可以检查以下特征。

• No gateway is required to use the new VNet Integration feature。
• You can access resources across ExpressRoute connections without any additional configuration beyond integrating with the ExpressRoute connected VNet.
• The app and the VNet must be in the same region.
• The new feature requires an unused subnet in your Resource Manager VNet.
• Your app must be in an Azure App Service deployment that is capable of scaling up to Premium v2.
• Your App Service plan must be a Standard, Premium, or PremiumV2 plan Production workloads are not supported on the new feature while it is in Preview
• The new VNet Integration feature doesn't work for apps in an App Service Environment.
• You cannot delete a VNet with an integrated app.
• Route tables and global peering are not yet available with the new VNet Integration.
• One address is used for each App Service plan instance. Since subnet size cannot be changed after assignment, use a subnet that can more than cover your maximum scale size. A /27 with 32 addresses is the recommended size as that would accommodate an App Service plan that is scaled to 20 instances.
• You can consume Service Endpoint secured resources using the new VNet Integration capability. To do so, enable service endpoints on the subnet used for VNet Integration.