Azure Functions Flex Consumption + VNet outbound integration: deployment fails with BlobUploadFailedException to Azure Storage, only when VNet is enabled

Question

Azure Functions Flex Consumption + VNet outbound integration: deployment fails with BlobUploadFailedException to Azure Storage, only when VNet is enabled

Raphael 1

I am planning on using an Azure Functions Flex Consumption app (document-processing) with VNet outbound integration to access a Storage Account (documentstorage) without public network access (Blob Trigger on that SA), and deployments from Visual Studio Professional as well as my Azure Devops Release Pipeline consistently fail only when VNet integration is enabled. The function app uses a separate storage account (functionsstorage) for AzureWebJobsStorage and DEPLOYMENT_STORAGE_CONNECTION_STRING; this account has public network access enabled from all networks, no private endpoints, key access enabled.

The error messages under xxx.scm.azurewebsites.net/api/deployments/xxx/log:

[
  {
    "log_time": "2025-11-19T08:28:01.9357614Z",
    "id": "xxx",
    "message": "[StorageAccessibleCheck] Error while checking access to storage account using Kudu.Legion.Core.Storage.BlobContainerStorage: BlobUploadFailedException: Failed to upload blob to storage account: Resource temporarily unavailable (functionsstorage.blob.core.windows.net:443)",
    "type": 2
  },
  {
    "log_time": "2025-11-19T08:28:01.9404081Z",
    "id": "xxx",
    "message": "InaccessibleStorageException: Failed to access storage account for deployment: BlobUploadFailedException: Failed to upload blob to storage account: Resource temporarily unavailable (functionsstorage.blob.core.windows.net:443)",
    "type": 2
  }
]

From a VM in the same VNet I can successfully nslookup and Test-NetConnection to functionsstorage.blob.core.windows.net:443. Despite this, the Kudu deployment pipeline fails.

As soon as I disable VNet outbound integration on the Flex app, deployment succeeds with the exact same configuration, which makes me suspect a Flex + VNet integration/platform issue affecting Kudu’s access to the storage account.

VNet/Subnet Config:

Subnet IP address availability: 123 available (123 total)
Subnet connected sites: document-processing
Subnet connected plans: ASP-TestRG-98uz
Private Subnet: unchecked
NAT, NSG, Route Table: None
Service Endpoints: Microsoft.Storage
Service Endpoint Policies: None
Subnet Delegation: Microsoft.App/environments
Private endpoint network policy: Disabled
DNS: Custom DNS Servers (10.0.1.5, 10.0.1.6), No private resolver, one vnet link (private dns zone) to privatelink.azurewebsites.net

Note:

If I create a new Function App with Hosting Type App Service (Linux) and configurate the vnet (different delegation, rest is the same), the deployment works fine.

I would be very thankful if you could help me.

Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-11-19T12:26:01.23+00:00

Hallo @Raphael Vielen Dank für Ihre Frage in den Microsoft-Fragen und -Antworten.

Bitte versuchen Sie Folgendes:

Erlauben Sie der VNet-Funktions-App in Ihrem Speicherkonto, das keine Verbindung zum Netzwerk herstellen kann, wie unten beschrieben:

Fügen Sie in Ihrer Funktions-App die folgende Einstellung hinzu:

WEBSITE_VNET_ROUTE_ALL: 1

Versuchen Sie, den Dienstendpunkt „Microsoft.Storage“ im Subnetz Ihrer Funktions-App hinzuzufügen und die Bereitstellung erneut zu versuchen.
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T13:07:20.4+00:00

Hello Siddhesh, I read that the WEBSITE_VNET_ROUTE_ALL is being overriden by vnetRouteAllEnabled app setting, is that true? shouldn't i then use the latter?

https://learn.microsoft.com/en-us/azure/azure-functions/functions-app-settings
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T13:07:39.7166667+00:00

Thanks for your reply btw!

Raphael 1

Okay I have realized your settings, I have set both WEBSITE_VNET_ROUTE_ALL: 1 and vnetRouteAllEnabled to "true", and of course setup the other confings in vnet and storage account. When deploying from Visual Studio, it still fails, now with error:

OneDeploy attempt to publish file through 'https://xxx.scm.azurewebsites.net/api/publish?RemoteBuild=false' failed with HTTP status code 'BadGateway':
<head>
<title>502 - Web server received an invalid response while acting as a gateway or proxy server.</title>
</head>
<body>
	<div id="header"><h1>Server Error</h1></div>
		<div id="content">
			<div class="content-container">
				<fieldset>
					<h2>502 - Web server received an invalid response while acting as a gateway or proxy server.</h2>
					<h3>There is a problem with the page you are looking for, and it cannot be displayed. When the Web server (while acting as a gateway or proxy) contacted the upstream content server, it received an invalid response from the content server.</h3>
				</fieldset>
			</div>
		</div>
</body>

Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-11-19T13:48:22.6166667+00:00

Hallo, vielen Dank für Ihre Antwort.

Bitte versuchen Sie die Lösung aus diesem Blogbeitrag:

https://www.dotnet-ltd.com/blog/how-to-deploy-azure-elastic-premium-functions-with-network-restrictions

und konsultieren Sie dieses Microsoft-Dokument: https://learn.microsoft.com/en-us/azure/azure-functions/configure-networking-how-to?tabs=portal#secure-storage-for-an-existing-function-app

Es tritt folgender Fehler auf: –502 - Web server received an invalid response while acting as a gateway or proxy server

Bitte warten Sie und versuchen Sie die Bereitstellung erneut.
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T14:32:02.2466667+00:00

Okay, so I cannot set these two app settings: WEBSITE_CONTENTAZUREFILECONNECTIONSTRING, WEBSITE_CONTENTSHARE as it gives me the error:

I am not sure if creating a private endpoint for storage account files type makes sense, since the function-app files under the flex consumption hosting plan are in a blob container (setting is done via Deployment Settings)
Raphael 1 Zuverlässigkeitspunkt

2025-11-20T13:38:42.6733333+00:00

@Siddhesh Desai do you think it is a platform issue?

1 Antwort

Ihre Antwort

Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-11-19T12:26:01.23+00:00

Hallo @Raphael Vielen Dank für Ihre Frage in den Microsoft-Fragen und -Antworten.

Bitte versuchen Sie Folgendes:

Erlauben Sie der VNet-Funktions-App in Ihrem Speicherkonto, das keine Verbindung zum Netzwerk herstellen kann, wie unten beschrieben:

Fügen Sie in Ihrer Funktions-App die folgende Einstellung hinzu:

WEBSITE_VNET_ROUTE_ALL: 1

Versuchen Sie, den Dienstendpunkt „Microsoft.Storage“ im Subnetz Ihrer Funktions-App hinzuzufügen und die Bereitstellung erneut zu versuchen.
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T13:07:20.4+00:00

Hello Siddhesh, I read that the WEBSITE_VNET_ROUTE_ALL is being overriden by vnetRouteAllEnabled app setting, is that true? shouldn't i then use the latter?

https://learn.microsoft.com/en-us/azure/azure-functions/functions-app-settings
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T13:07:39.7166667+00:00

Thanks for your reply btw!
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T13:19:32.5+00:00

Okay I have realized your settings, I have set both WEBSITE_VNET_ROUTE_ALL: 1 and vnetRouteAllEnabled to "true", and of course setup the other confings in vnet and storage account. When deploying from Visual Studio, it still fails, now with error:

OneDeploy attempt to publish file through 'https://xxx.scm.azurewebsites.net/api/publish?RemoteBuild=false' failed with HTTP status code 'BadGateway': <head> <title>502 - Web server received an invalid response while acting as a gateway or proxy server.</title> </head> <body> <div id="header"><h1>Server Error</h1></div> <div id="content"> <div class="content-container"> <fieldset> <h2>502 - Web server received an invalid response while acting as a gateway or proxy server.</h2> <h3>There is a problem with the page you are looking for, and it cannot be displayed. When the Web server (while acting as a gateway or proxy) contacted the upstream content server, it received an invalid response from the content server.</h3> </fieldset> </div> </div> </body>
Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-11-19T13:48:22.6166667+00:00

Hallo, vielen Dank für Ihre Antwort.

Bitte versuchen Sie die Lösung aus diesem Blogbeitrag:

https://www.dotnet-ltd.com/blog/how-to-deploy-azure-elastic-premium-functions-with-network-restrictions

und konsultieren Sie dieses Microsoft-Dokument: https://learn.microsoft.com/en-us/azure/azure-functions/configure-networking-how-to?tabs=portal#secure-storage-for-an-existing-function-app

Es tritt folgender Fehler auf: –502 - Web server received an invalid response while acting as a gateway or proxy server

Bitte warten Sie und versuchen Sie die Bereitstellung erneut.
Raphael 1 Zuverlässigkeitspunkt

2025-11-19T14:32:02.2466667+00:00

Okay, so I cannot set these two app settings: WEBSITE_CONTENTAZUREFILECONNECTIONSTRING, WEBSITE_CONTENTSHARE as it gives me the error:

I am not sure if creating a private endpoint for storage account files type makes sense, since the function-app files under the flex consumption hosting plan are in a blob container (setting is done via Deployment Settings)
Raphael 1 Zuverlässigkeitspunkt

2025-11-20T13:38:42.6733333+00:00

@Siddhesh Desai do you think it is a platform issue?

Answer 1

Hello Raphael,

So habe ich das Problem gelöst:

Schritt 1:

Ich habe eine Funktions-App mit VNet-Integration erstellt. Sowohl mein App-Service als auch meine Funktionswebsite sind wie folgt hinzugefügt:

NSG, Routingtabelle und NAT-Gateway sind nicht konfiguriert.

Benutzerbild

Schritt 2: Mein Speicherkonto für Funktions-Apps hat den öffentlichen Zugriff aktiviert: Benutzerbild

Schritt 3: Ich habe nun die verwaltete Identität für Funktions-Apps aktiviert und die Speicherkontorollen wie folgt hinzugefügt: Verwaltete Identität für Funktions-Apps aktiviert: -

Benutzerbild

Navigieren Sie zum Speicherkonto der Funktions-App > Zugriffskontrolle (IAM) > Rolle <Speicherrolle>. Fügen Sie unter Benutzer, Gruppe, Dienstprinzipal die verwaltete Identität der Funktions-App als Mitglied hinzu. Überprüfen und zuweisen Sie die Änderungen. Wiederholen Sie diesen Vorgang für die beiden anderen Rollen.

Informationen zum Hinzufügen der Rollen der verwalteten Identität der Funktions-App zum Speicherkonto finden Sie in diesem Microsoft-Dokument: https://learn.microsoft.com/en-us/azure/azure-functions/functions-identity-based-connections-tutorial#grant-the-system-assigned-identity-access-to-the-storage-account

Rollen:

• Speicherkonto-Mitwirkender (Storage account contributor)

• Besitzer von Speicherblobdaten (Storage blob data owner)

• Mitwirkender von Speicherwarteschlangendaten (Storage queue data contributor)

Benutzerbild

Rollenzuweisungsbeispiel:

Benutzerbild

Schritt 4: Fügen Sie nun in Ihrer Functions-App die unten stehenden App-Einstellungen hinzu. Es ist nicht erforderlich, weitere App-Einstellungen hinzuzufügen:

"name": "APPLICATIONINSIGHTS_CONNECTION_STRING",
 "value": "InstrumentationKey=xxxxxx1;IngestionEndpoint=https://northeurope-.in.applicationinsights.azure.com/;LiveEndpoint=https://northeurope.livediagnostics.monitor.azure.com/;ApplicationId=xxxxxxxxxxx",

"name": "AzureWebJobsStorage__accountName",
"value": "stfuncflexbd00",

Stellen Sie sicher, dass nach AzureWebJobsStorage__ ein doppelter Unterstrich folgt, und anschließend muss accountName und value der Name Ihres Function Storage-Kontos sein, in dem die verwaltete Identität aktiviert ist.

Benutzerbild

Schritt 4: Ich habe in Visual Studio einen Blob-Trigger erstellt und ihn in der oben genannten Flex-Funktions-App bereitgestellt. Die Bereitstellung war erfolgreich (siehe unten).

Benutzerbild

Wenn ich die Funktion nun über die Funktions-App ausführe, wird sie erfolgreich ausgeführt. Siehe unten:

Benutzerbild

Alternativ können Sie diesen Blog konsultieren, in dem die Bereitstellung einer in VNET integrierten Flex-Funktions-App mit Terraform beschrieben wird: https://carlos.mendible.com/2024/12/12/deploy-flex-consumption-azure-function-with-vnet-integration-using-terraform/ Die App-Einstellungen und die Speicherkontorolle müssen jedoch wie oben beschrieben nach der Bereitstellung hinzugefügt werden.

Raphael 1 Zuverlässigkeitspunkt

2025-11-25T12:57:17.85+00:00

Hi Siddhesh, thanks a lot for the detailed answer. I will try this setup with my Azure Admin this week and keep you updated if it works (and ofc accept the answer then).
Raphael 1 Zuverlässigkeitspunkt

2025-11-27T14:01:44.1766667+00:00

Good Day Siddhesh,

we are encountering the following error after integrating the flex function app to our vnet:

Subnet VNET-Integ-FA-Large is owned by App Service Plan undefined and cannot be used for Regional VNet integration by App Service Plan ASP-VersuchMuenchen-a735 which hosts the app b-file-processing.

Is that an issue with the vnet or subnet? We have created that subnet recently and have not connected to any other site.
Raphael 1 Zuverlässigkeitspunkt

2025-11-27T15:28:42.9033333+00:00

okay I got some important insights.

Subnet needs to be created before, if you create a new one during the function app creation it will fail due to tags that cannot be created on a subnet.

The Subnet has to be connected during the creation of the function app, if you later connect it, it will not work propertly and it will show NONE under "Subnet connected sites" and "Subnet connected plans" when opening the VNET Integration

However with all those settings, I still get the same error (Logs from OneDeploy):
Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-12-03T04:47:22.5666667+00:00

Hi @Raphael,

Did you follow these steps below:

Navigate to the storage account of the function app > Access Control (IAM) > role <Storage Role>. Under Users, Group, Service Principal, add the managed identity of the function app as a member. Review and assign the changes. Repeat this process for the other two roles.

To add the function app's managed identity roles to the storage account, see this Microsoft document: https://learn.microsoft.com/en-us/azure/azure-functions/functions-identity-based-connections-tutorial#grant-the-system-assigned-identity-access-to-the-storage-account

Roles:

• Storage account contributor

• Storage blob data owner

• Storage queue data contributor
Siddhesh Desai 735 Zuverlässigkeitspunkte Externe Microsoft-Mitarbeiter Moderator

2025-12-16T08:47:09.8233333+00:00

Hi @Raphael Following up to see if the above response was helpful?

Freigeben über

Azure Functions Flex Consumption + VNet outbound integration: deployment fails with BlobUploadFailedException to Azure Storage, only when VNet is enabled

VNet/Subnet Config:

Note:

1 Antwort

Ihre Antwort