为Azure应用网关创建专用链接报错：需删除子网外部资源

问题背景 #

我跟着《使用Azure应用网关保护Azure容器应用》的教程操作，在执行「为应用网关添加专用链接」这一步时，弹出错误提示：

需删除外部资源才能部署到此子网。

我的环境情况：

• 创建Azure Container Application前，先建了Azure Container Application Environment，这个环境要求创建名为container-app-subnet的子网，该子网只绑定了这个容器应用环境，没加别的资源
• 容器应用已经设为私有
• Azure Application Gateway选了容器应用所属的虚拟网络（VNET），两者在同一个VNET里，但保存专用链接时还是报错，搞不懂系统为啥说子网关联了外部资源？

可能原因和解决办法 #

1. 容器应用环境子网的隐含资源占用 #

Azure容器应用环境的子网会自动部署内部负载均衡器（ILB）和配套的专用链接服务资源，这些是后台自动创建的隐含资源，你在界面上看不到直接绑定，但系统会判定这个子网已经被其他资源占用了，没法再部署应用网关的专用链接。

解决办法：

• 别在container-app-subnet里部署应用网关的专用链接，单独给应用网关的专用链接新建一个子网（比如叫appgw-privatelink-subnet），确保这个新子网没被任何其他Azure服务用过
• 新子网的地址空间要和container-app-subnet不重叠，而且必须在同一个VNET里

2. 子网有残留的服务端点或专用链接关联 #

哪怕你没显式加资源，子网可能之前开了某些服务端点，或者有没删干净的专用链接服务残留。

解决办法：

• 进Azure门户找到这个子网，检查「服务端点」设置，如果有没必要开的服务端点，先关掉再重试
• 检查VNET里的「专用链接服务」资源，看看有没有和container-app-subnet关联的残留资源，删掉之后再试部署

3. 容器应用环境的子网设计限制 #

Azure容器应用环境的子网本身就有网络隔离的设计要求，不允许在同一个子网里部署其他需要用专用链接的资源，这是官方的设计限制。

解决办法：

• 严格分开子网：容器应用环境用自己的container-app-subnet，应用网关和它的专用链接用另一个独立子网，两个子网通过VNET内部路由互通就行

验证步骤 #

调整完之后，重新走「为应用网关添加专用链接」的流程，选新建的专用链接子网，应该就能正常部署了。

内容的提问来源于stack exchange，提问作者duyn9uyen