如何在Azure中托管基于Windows镜像的微服务（低成本方案）

核心架构选型 #

针对你的Windows容器场景，优先选择 Azure Container Apps + 虚拟网络（VNet） 的组合，完全满足需求且成本可控：

• 原生支持Windows Server 2022容器，无需管理底层虚拟机
• 自带VNet集成能力，轻松实现微服务的私有网络隔离
• 支持按需/定时扩容（适配夜间部署的临时扩容需求），按资源使用量计费
• 可通过自定义NGINX实现路由、SSL证书管理，同时满足WebAssembly的公网IP要求

架构拆分与部署步骤 #

1. 基础资源准备 #

• 创建资源组：统一管理所有Azure资源，便于计费和后续维护
• 创建VNet与子网：
  • 划分两个子网：public-subnet（用于NGINX和WebAssembly）、private-subnet（用于微服务）
  • 为private-subnet配置网络安全组（NSG）：仅允许来自public-subnet的流量访问微服务端口，拒绝所有互联网直接访问

2. 私有微服务部署 #

针对每个微服务，创建独立的Container App：

• 部署子网选择private-subnet，关闭公网Ingress，确保微服务仅能被VNet内部组件访问
• 配置容器镜像为你的Windows微服务镜像
• 设置扩容规则：添加定时扩容任务（比如夜间部署时段），平时保持1个最小实例以节省成本

3. WebAssembly容器部署 #

创建专属的Container App：

• 部署子网选择public-subnet，开启公网Ingress并绑定静态公网IP，满足WebAssembly的公网访问要求
• 配置容器镜像为你的Windows WebAssembly镜像
• 同样设置定时扩容规则，在夜间部署时临时增加实例数

4. NGINX容器部署 #

创建作为入口网关的Container App：

• 部署子网选择public-subnet，开启VNet集成以访问private-subnet内的微服务
• 开启公网Ingress，绑定SSL证书（可使用Azure免费托管证书或自定义证书）
• 配置容器镜像为你的Windows NGINX镜像，设置路由规则：
  • 转发前端API请求到私有微服务的VNet内部地址
  • （可选）如果需要统一入口，也可将WebAssembly的流量路由到NGINX，再转发到WebAssembly容器

成本优化要点 #

• 实例规格选型：选择最小的Windows容器实例（如Container Apps的0.5 vCPU / 1 GB RAM），平时保持1个实例
• 镜像存储：使用**Basic层级的Azure容器注册表（ACR）**存储镜像，成本极低，且支持VNet集成避免公网拉取流量费用
• 静态IP层级：选择Basic层级静态公网IP，成本远低于Standard层级
• 定时缩容：通过Container Apps的定时规则，在夜间部署完成后自动缩容回最小实例数
• 免费额度利用：新用户可使用Azure免费额度（包含Container Apps、VNet、ACR的免费资源）进一步降低初期成本

替代方案（简化版） #

如果觉得Container Apps配置略复杂，可选择 Azure App Service（Windows多容器）+ VNet：

• 将WebAssembly和NGINX打包在同一个Docker Compose文件中，部署到单个App Service，绑定静态公网IP
• 微服务部署到另一个App Service，开启VNet集成并关闭公网访问，仅允许来自NGINX所在App Service的流量访问
• 缺点是App Service为固定实例计费，成本略高于Container Apps的Serverless模式

内容的提问来源于stack exchange，提问作者PandaPlayer