CosmosDB问题：无法结合使用专用网关与虚拟网络

关于“专用网关与虚拟网络无法共存”的限制 #

那个过时帖子提到的限制已经被官方移除，当前Azure完全支持Cosmos DB同时启用虚拟网络访问和专用网关，你的403错误并非来自这个旧限制，大概率是配置环节出了问题。

重点排查方向 #

• 虚拟网络访问规则：
  检查Cosmos DB的「虚拟网络」设置，确认你客户端所在的子网已经被添加到允许访问的列表中。使用专用网关时，流量是通过虚拟网络路由到Cosmos DB的，要确保子网的出站规则没有拦截到专用网关端点的流量，同时Cosmos DB的防火墙没有误拦截该子网。
• 专用网关配置完整性：
  • 确认专用网关已经部署成功，并且虚拟网络的目标子网关联了专用网关对应的路由表，确保流量能正确路由到专用网关。
  • 连接字符串必须严格使用专用网关格式：https://<你的账户名>.sqlx.cosmos.azure.com/，不能和旧的documents.azure.com域名混用。
• 身份验证与权限：
  • 检查你使用的账户密钥或Azure AD凭证是否拥有足够的操作权限（比如Cosmos DB账户参与者、数据 Contributor等），权限不足会直接触发403。
  • 排查密钥是否过期或输入错误，尝试重新生成主/辅助密钥后再测试连接。
• DNS解析问题：
  确保客户端所在环境（虚拟网络内的机器、本地VPN连接的设备）能正确解析专用网关的域名。如果是本地设备，要确认DNS转发配置能指向Azure的专用DNS区域，避免域名解析失败导致的访问被拒。

快速验证步骤 #

1. 在虚拟网络内的虚拟机上直接测试专用网关端点，排除客户端本地网络的干扰。
2. 临时关闭Cosmos DB的虚拟网络防火墙（仅用于测试），如果此时能正常连接，说明是防火墙规则配置有误。
3. 查看Azure活动日志，找到对应403错误的详细记录，里面会明确标注错误原因（比如IP未授权、权限不足等），能帮你快速定位问题。

内容的提问来源于stack exchange，提问作者Kenbo