迁移GCP工作负载至Azure：无法将Application Gateway指向Container Apps求助

1. 负载均衡层匹配选型 #

• 全局流量场景选Azure Front Door：完全对标GCP全局外部负载均衡器，支持全球智能路由、SSL卸载、自定义域名管理，跨区域场景下优先级高于Application Gateway；如果所有服务都部署在单一区域，Application Gateway也可满足需求。
• 后端池对接逻辑：VM实例组（Azure对应虚拟机规模集VMSS）可直接加入负载均衡器后端池，但Container Apps无法直接加入传统后端池，需通过以下两种方案对接：

2. 容器服务确定：Azure Container Apps #

直接放弃Container Instances——它无原生自动扩缩容能力，需自行开发扩缩逻辑。Container Apps完全匹配Cloud Run的核心特性：支持基于CPU/内存/请求量的自动扩缩容、托管式容器运行、无需管理底层集群，是你的最优选择。

3. Container Apps与负载均衡器的对接方案 #

方案A：Azure Front Door对接（推荐） #

无需复杂网络配置，直接通过域名路由：

• 先为每个Container Apps配置自定义域名（见后续SSL部分），获取其对外访问域名。
• 在Front Door中创建多个后端池，分别关联VMSS的公网/内网IP、每个Container Apps的自定义域名。
• 配置路由规则，按URL路径（如/api/service1/*）或子域名（如service1.yourdomain.com）将流量分发到对应后端池。

方案B：Application Gateway对接（区域场景） #

需通过虚拟网络集成实现内网访问：

• 创建Container Apps环境时，开启虚拟网络集成，将其加入与Application Gateway同VNet的子网。
• Container Apps会获得VNet内私有IP，将该IP加入Application Gateway的后端池。
• 配置Application Gateway的URL路径映射，实现路径到对应后端的路由。

4. 自定义域名与SSL证书配置 #

• 统一在负载均衡层配置SSL：避免在每个后端单独配置，在Front Door/Application Gateway上绑定Azure托管SSL证书（支持免费通配符证书*.yourdomain.com），实现统一SSL卸载。
• 多域名适配：
  • 为每个后端实体配置子域名（如vm.yourdomain.com、service1.yourdomain.com）。
  • 在负载均衡器中创建对应路由规则，每个子域名关联到专属后端池。
  • 用通配符SSL证书覆盖所有子域名，减少证书管理成本。

5. 基于URL的路由配置 #

• Front Door配置：
  • 创建路由规则，设置路径匹配条件（如/service2/*）。
  • 关联对应的Container Apps后端池，设置规则优先级避免冲突。
• Application Gateway配置：
  • 创建URL路径映射，将不同路径规则分组。
  • 将路径映射绑定到监听端口，实现路径到后端池的精准路由。

6. 虚拟机实例组对应组件 #

GCP实例组直接对应Azure虚拟机规模集（VMSS），支持自动扩缩容配置，可直接加入负载均衡器后端池，用法与GCP实例组一致。

内容的提问来源于stack exchange，提问作者Samarth Jain