如何通过Bicep为Web App关联的Private Endpoint配置私有DNS记录？

问题场景 #

将Private Endpoint（PE）部署到专用子网所在的虚拟网络中，关联已启用VNet集成的Web App资源。需要在Private DNS Zone中添加A记录，但受限于必须等待PE部署完成获取私有IP后才能操作，手动配置效率低且容易出错；同时尝试通过Bicep输出PE详细信息未成功，寻求更优方案。

解决方案 #

1. Bicep自动化关联Private DNS Zone（推荐最佳实践） #

Azure支持在部署Private Endpoint时，通过DNS Zone Group自动将PE的私有IP注册到指定的Private DNS Zone中，无需手动等待IP生成后再配置。这种方式完全通过基础设施即代码实现自动化，也是官方推荐的标准流程。

修改后的Bicep代码示例

param privateEndpoints array
param privateDnsZoneId string // 传入目标Private DNS Zone的资源ID，比如Web App对应的privatelink.azurewebsites.net

// 部署Private Endpoints
resource privateEndpoint 'Microsoft.Network/privateEndpoints@2024-05-01' = [for pe in privateEndpoints: {
  name: pe.name
  location: pe.location
  properties: {
    subnet: {
      id: pe.properties.subnetId
    }
    privateLinkServiceConnections: [
      {
        name: 'link-to-${pe.name}'
        properties: {
          privateLinkServiceId: pe.properties.privateLinkServiceId
          groupIds: pe.properties.groupIds
        }
      }
    ]
    // 添加DNS Zone Group，自动完成IP注册
    dnsZoneGroups: [
      {
        name: 'default'
        properties: {
          privateDnsZoneConfigs: [
            {
              name: 'webapp-dns-config'
              properties: {
                privateDnsZoneId: privateDnsZoneId
              }
            }
          ]
        }
      }
    ]
  }
}]

// 输出所有PE的详细信息（含私有IP）
output privateEndpointDetails array = [for (pe, index) in privateEndpoint: {
  name: pe.name
  privateIpAddress: pe.properties.networkInterfaces[0].properties.ipConfigurations[0].properties.privateIPAddress
  linkedServiceId: privateEndpoints[index].properties.privateLinkServiceId
}]

2. 手动配置DNS记录的步骤 #

如果暂时无法使用自动化方式，可按以下流程操作：

• 等待PE部署完成后，进入Azure门户的Private Endpoint资源页，切换到网络接口选项卡，点击对应的网络接口；
• 在网络接口的IP配置面板中复制私有IP地址；
• 打开目标Private DNS Zone（例如privatelink.azurewebsites.net），添加A记录：
  • 名称：填写Web App的名称（不含.azurewebsites.net后缀）
  • IP地址：粘贴刚才复制的PE私有IP
  • TTL：保持默认或按需调整

3. 正确输出PE详细信息的写法 #

之前输出失败是因为未正确引用PE部署后的运行时属性。上述代码中的output块通过循环遍历部署完成的privateEndpoint数组，提取每个PE的名称、私有IP和关联服务ID，部署完成后可在Azure部署的输出面板中查看这些信息。

关键说明 #

• 针对Web App的Private Endpoint，对应的Private DNS Zone通常为privatelink.azurewebsites.net，需确保该Zone已创建并与目标VNet完成关联；
• DNS Zone Group会自动维护IP与DNS记录的关联，即使后续PE的IP发生变更，Azure也会自动更新DNS记录，无需手动干预。

内容的提问来源于stack exchange，提问作者Lee