azure-logic-apps - 如何在不启用存储帐户公共访问的情况下将 Azure 存储帐户连接到逻辑应用程序？

Question

有人知道如何使用逻辑应用连接器和触发器连接到 Azure Blob 存储吗？我不想授予对我的存储帐户的公共访问权限。如果我允许公共访问，它工作正常，但是当我限制对选定 IP 的访问时，它停止工作并且我无法连接到存储帐户。我附上了截图。

错误信息

Answer 1

对于这个问题，我建议您使用弗兰克在他的回答中提到的集成服务环境。但这里我提供一些更详细的步骤供大家参考。

1. 创建一个虚拟网络并确保它至少有 4 个子网，您只需单击存储帐户“防火墙和虚拟网络”选项卡中的“添加新虚拟网络”按钮即可。 如果您在存储帐户“防火墙和虚拟网络”中创建虚拟网络，您需要转到新的虚拟网络并添加三个子网以确保它至少有 4 个子网（如下图所示），然后返回到您的存储帐户“防火墙”选项卡，再次添加虚拟网络（因为添加三个子网后可能会丢失）。

2.然后，我们需要创建一个集成服务环境，在创建页面的底部选择您刚才创建的虚拟网络。

创建需要很长时间，我花了四个多小时创建集成服务环境。

3.创建 ISE 后，我们需要创建逻辑应用并选择我们在创建逻辑应用时创建的 ISE。

4.等待大约 20 分钟，因为即使成功创建 ISE 也需要一些时间才能准备好。然后在您的逻辑应用中，添加带有“ISE”图标的“Azure blob storage”连接器。

5.添加“create blob”操作，它会要求您创建连接，像以前一样创建连接，它将在逻辑应用的同一资源组中生成一个 API 连接。 等待几分钟，直到您可以单击并打开 API 连接，因为这种 API 连接（与 ISE）需要更多时间才能准备好。否则，您将在逻辑应用“创建 blob”操作中看到一些文本，例如“找不到 api azureblob ....”。

6.现在我们可以在“create blob”操作中看到存储中的项目。

Answer 2

首先，确保您已允许所有相关的 IP 地址。在此处查找您所在地区的所有出站地址。

其次，我要指出 - 正如您在该页面上看到的那样 - 所有逻辑应用，无论租户或订阅如何，都使用相同的出站 IP 地址。因此，尽管您确实通过仅将这些列入白名单来创建限制，但仍然存在您可能接受或不接受的安全漏洞。

您还可以考虑将逻辑应用部署到集成服务环境中，该环境与 VNET 集成，您还可以将存储帐户连接到该环境。

Answer 3

也可以使用服务端点或专用端点从标准逻辑应用程序连接到存储帐户，这可能是比使用非常昂贵的 ISE 更好的解决方案。

本文介绍了挑战，以及如何通过服务终结点和专用终结点设置标准逻辑应用和存储帐户之间的连接。