部署Azure API Management至虚拟网络（内网模式）时遇到问题

针对你遇到的APIM内网VNET集成失败（错误码ActivationFailed，提示无法连接Azure Storage），除已配置的NSG出站规则外，可按以下步骤排查：

1. 验证DNS解析能力 #

• 若虚拟网络使用自定义DNS服务器，必须确保其能正常解析Azure Storage的公共域名（如*.blob.core.windows.net）：
  • 在Subnet-APIM中部署临时测试VM，执行nslookup <任意同区域存储账户名>.blob.core.windows.net，检查是否能返回有效IP。
  • 若自定义DNS无法解析，需配置条件转发规则，将Azure服务域名指向Azure默认DNS（168.63.129.16）。
• 若使用Azure默认DNS，可跳过此步骤，但需确认虚拟网络未配置DNS转发导致解析异常。

2. 检查Storage服务端点配置 #

• 确认Subnet-APIM上启用的Storage服务端点包含APIM所在区域：服务端点是区域级配置，需确保目标区域的Azure Storage服务端点已启用，而非仅全局或其他区域。
• 检查子网的服务端点配置是否生效，可在Azure门户查看子网的"服务端点"列表，确认Microsoft.Storage已勾选对应区域。

3. 确认NSG规则细节 #

• 验证NSG的Azure Storage出站规则优先级：需确保规则优先级高于默认的DenyAllOutbound规则（优先级数值越小越高）。
• 确认规则的目标服务标签为AzureStorage，协议为TCP，端口范围包含443（Azure Storage使用HTTPS通信）。
• 排查是否存在其他网络安全设备（如虚拟防火墙、NVA）阻止子网出站到Azure Storage的流量，此类设备可能独立于NSG生效。

4. 检查子网资源配置 #

• 确认Subnet-APIM的可用IP数量满足要求：Developer SKU的APIM需要至少10个可用IP地址（子网掩码至少为/28），IP不足会导致节点部署失败。
• 确保子网未被其他资源占用，APIM需独占子网资源以避免冲突。

5. 采用命令行重新部署 #

门户可能存在状态缓存问题，可使用Azure CLI执行VNET集成操作，确保配置生效：

az apim update --name APIM-1 --resource-group RG-1 --virtual-network-type Internal --vnet-name VNET-1 --subnet Subnet-APIM --public-ip-address Pub-IP-1

6. 深入日志排查 #

• 启用APIM的诊断设置，收集GatewayLogs和AuditLogs，查看是否有更详细的连接失败日志。
• 查看Azure活动日志的事件详情，展开"Create or Update API Management Service instance"事件，检查是否存在隐藏的错误信息。

内容的提问来源于stack exchange，提问作者Amit Anand