ネットワーク制限をかけたストレージアカウントにアクセスする方法

ストレージアカウントでパブリックを許可していると誰でもアクセスすることが可能になってしまいます。

※もちろんアクセスキーやAD認証などが必要なので、誰でも取得可能ではありません。
そのため、ストレージアカウントのファイアウォール機能を使い許可されたネットワークからでしかアクセスできないようにすることができます。

Storageファイアウォールが有効化されてい状態でのアクセス方法

[ストレージアカウント]-[ネットワーク]からファイアウォール設定画面に遷移します。

ファイアウォール

こちらはオーソドックスなファイアウォール設定です。
許可したいIPを設定して保存することでアクセス可能となるホワイトリスト形式のファイアウォールです。

注意点としてはグローバルIPのみ設定することが可能です。
同一リージョンのVNETに属していないAzureリソースはたとえグローバルIPを付与していてもAzure同一リージョンではプライベートIPを使ってアクセスするためここで許可設定をいれてもアクセスできません。

仮装ネットワーク

こちらはVNET内のサービスエンドポイントを利用して接続するための設定です。
Azure Virtual MachineなどのAzureのリソースはサブネットに属しており、そのサブネットからサービスエンドポイントを用い、Azure内のネットワークでストレージアカウントにアクセスできます。

引用：https://docs.microsoft.com/ja-jp/azure/virtual-network/virtual-network-service-endpoint-policies-overview

システム割り当てマネージド ID

以下、サービスのシステム割り当てマネージドIDを利用してアクセスすることができます。
ここでアクセス許可したいマネージドIDを追加し、マネージドIDに対して必要なアクセス権限を付与することでアクセス可能になります。

※MS公式Docs引用

例外

ストレージアカウントと同じサブスクリプションにある下記リソースは「信頼されたサービスの一覧にある Azure サービスがこのストレージ アカウントにアクセスすることを許可します。」にチェックをいれることでアクセス可能となります。

プライベートエンドポイント

引用：https://docs.microsoft.com/ja-jp/azure/storage/common/storage-private-endpoints

VNET上にプライベートエンドポイントを作成し、プライベートエンドポイントを経由してアクセスすることも可能です。

プライベートエンドポイントの使い道としては社内ネットワークをExpress RouteなどでVNETと繋ぎ、従業員もインターネット経由で直接ストレージアカウントへアクセスするのではなく、プライベートエンドポイントにアクセスすることでインターネットに出ずにストレージアカウントにアクセスすることが可能です。

App ServiceやFunctionsでネットワーク制限されている同一リージョンのストレージアカウントにアクセスする方法

デフォルトでは無理です。
これがけっこうハマるポイントです。

回避策

App ServiceやFunctionsではプラン次第ですが、VNET統合ができます。
VNET統合をした上で仮装ネットワークを追加してあげればネットワーク制限された同一リージョンのストレージアカウントにアクセスすることが可能です。

VNET統合できないプランの場合(Functions 従量課金など)はどう頑張っても無理なので別リージョンにストレージアカウントを作成しましょう。