配置私有端点后Azure Automation Account与Hybrid Workers通信故障求助

网络连通性验证 #

• 测试Hybrid Worker机器到两个私有端点私有IP的连通性：用Test-Connection <私有IP> -Port 443（PowerShell）或nc -zv <私有IP> 443（Linux）确认443端口可访问
• 检查NSG规则：确保Hybrid Worker所在子网的出站规则允许到私有端点子网的443流量，同时私有端点子网的入站规则允许来自Hybrid Worker的443流量
• 验证DNS配置：
  • 自动化账户私有端点需关联私有DNS区域privatelink.azure-automation.net，确保Hybrid Worker解析<自动化账户名>.azure-automation.net时返回私有IP
  • Arc私有链接范围需关联私有DNS区域privatelink.azure-arc.com，确保Hybrid Worker解析Arc相关域名时返回私有IP

私有端点配置检查 #

• 确认pe-aa-dev（自动化账户私有端点）的目标资源为你的Automation账户，且连接状态为已批准
• 检查私有端点所在子网的「允许网络策略」设置为关闭，避免NSG或路由表阻断私有端点流量
• 验证pe-pls-arc-dev已正确关联到你的Arc私有链接范围，且状态正常

Hybrid Worker代理配置 #

• 在Hybrid Worker机器上执行Get-HybridWorkerRegistration，确认注册信息中的Automation账户地址为私有链接域名（而非公网域名）
• 查看Azure Automation Hybrid Worker服务状态，执行Restart-Service HybridWorkerService重启服务后，检查事件日志（事件查看器→应用程序和服务日志→Microsoft→Windows→Azure Automation Hybrid Worker）有无连接错误
• 若使用Azure Monitor Agent，确认代理配置已指定使用私有网络连接Arc资源，未走公网通道

Arc私有链接范围配置 #

• 确认Arc私有链接范围已包含Hybrid Worker对应的Arc服务器资源，且资源状态为已链接
• 检查Arc代理配置文件（Windows路径：C:\ProgramData\AzureConnectedMachineAgent\Config\agentconfig.json，Linux路径：/var/opt/azcmagent/config/agentconfig.json），确认resourceScope字段指向正确的私有链接范围资源ID

日志排查 #

• 查看Automation账户的「作业日志」，定位挂起作业的具体错误信息（如连接超时、权限不足）
• 检查Hybrid Worker本地日志：Windows路径C:\ProgramData\AzureAutomation\Logs，Linux路径/var/opt/microsoft/omsagent/<工作区ID>/state/automationworker/Logs，排查通信环节的报错
• 启用Azure Monitor日志收集，分析Hybrid Worker的性能指标和代理运行日志

内容的提问来源于stack exchange，提问作者Pittsburgh_Power