Azure Container App连接Azure PostgreSQL Flexible Server问题求助

问题背景 #

我正在尝试在Azure Container Apps中部署FusionAuth，并配置使用Azure PostgreSQL Flexible Server作为数据库。目前可通过Azure的URL访问到FusionAuth的维护模式界面，但无法连接到PostgreSQL实例。

已完成的配置：

• 将Container Apps环境加入虚拟网络
• 配置PostgreSQL服务器使用一个子网，并将实例委派到该子网和专用DNS区域
• 所有资源通过Bicep部署无报错

补充信息：

• 虚拟网络仅包含一个子网，PostgreSQL已分配并委派到该子网；Container Apps环境仅关联此虚拟网络
• FusionAuth容器应用的入口允许来自任何地方的流量，不确定是否需要改为仅允许VNet流量
• 当前未设置任何防火墙规则，参考的示例也未使用防火墙规则
• 不确定是否需要使用托管标识，以及使用托管标识后是否仍需要虚拟网络

排查步骤 #

1. 验证PostgreSQL的VNet连接配置 #

• 确认PostgreSQL Flexible Server的子网委派是否正确：子网必须委派给Microsoft.DBforPostgreSQL/flexibleServers，可在Azure门户的子网配置中检查
• 检查专用DNS区域的关联：确保专用DNS区域（通常是privatelink.postgres.database.azure.com）已正确关联到虚拟网络，保证Container Apps环境内的实例能解析PostgreSQL的私有端点DNS

2. 测试Container Apps到PostgreSQL的网络连通性 #

• 在Container Apps中临时部署测试容器（比如postgres:alpine），执行以下命令测试：

  # 测试端口可达性
  nc -zv <postgres-private-ip> 5432
  # 测试DNS解析
  nslookup <postgres-server-name>.postgres.database.azure.com
  

• 若DNS解析失败，可能是专用DNS区域未正确关联，或是Container Apps环境的DNS配置未继承VNet的DNS设置

3. 检查PostgreSQL的访问控制 #

• 即使使用VNet集成，PostgreSQL Flexible Server默认可能拒绝所有连接，需在连接安全设置中确认是否启用了允许虚拟网络访问，并添加了对应的子网规则
• 注意：使用私有端点时无需设置IP防火墙规则，但要确保VNet内的流量被允许

4. FusionAuth的数据库连接配置检查 #

• 确认FusionAuth使用的连接字符串是否正确：必须使用PostgreSQL的私有端点地址，格式应为：

  jdbc:postgresql://<postgres-server-name>.postgres.database.azure.com:5432/fusionauth?sslmode=require
  

• 检查SSL配置：Azure PostgreSQL默认要求SSL连接，FusionAuth的配置中必须指定sslmode=require

关于托管标识和VNet的疑问解答 #

是否需要使用托管标识？ #

托管标识主要用于身份验证（替代用户名密码），不解决网络连通性问题。如果当前是网络不通的问题，优先解决网络连通；若网络连通后需要更安全的身份验证，再考虑启用托管标识：

• 启用托管标识后，需在PostgreSQL中创建对应的数据库用户并赋予权限
• 连接字符串需调整为使用托管标识认证的格式

使用托管标识后是否仍需要虚拟网络？ #

是的，托管标识只是身份验证方式，网络连通性仍需通过VNet集成或私有端点保证，否则Container Apps无法访问PostgreSQL实例

是否需要将FusionAuth入口改为仅允许VNet流量？ #

取决于安全需求：

• 若仅需内部访问，建议改为仅允许VNet流量，提升安全性
• 若需要外部用户访问FusionAuth界面，保持当前设置即可，但要确保数据库仅通过VNet访问，不暴露公网

内容的提问来源于stack exchange，提问作者Alan Rutter