连接私有端点后APIM调用Function App触发IP访问拒绝问题

核心原因 #

当Function App配置私有端点后，即便开启了「允许所有网络访问」，Azure的网络路由或DNS解析逻辑仍可能优先将APIM的请求导向私有端点。由于APIM与Function App处于不同虚拟网络，且未被授权访问该私有端点所在网络，因此触发x-ms-denied-ip拒绝响应。直接访问Function App正常是因为请求走公网路由，而APIM的集成请求被错误路由到了私有端点路径。

具体解决步骤 #

1. 检查私有端点的网络安全组(NSG)与ACL规则 #

• 进入Function App的私有端点配置页面，查看关联的NSG入站规则，确认是否允许APIM的公网出站IP地址访问。默认情况下，私有端点的NSG仅允许所在虚拟网络内的流量，需手动添加APIM的公网IP到允许列表。
• 同时检查私有端点的访问控制列表(ACL)，确保没有拒绝APIM来源IP的规则。

2. 修正DNS解析逻辑 #

• 当Function App配置私有端点后，Azure会自动在私有DNS区域创建域名解析记录，将Function App的公网域名指向私有IP。如果APIM所在的虚拟网络关联了该私有DNS区域，APIM会将请求解析到私有IP，从而触发私有端点的访问限制。
• 解决方法：
  • 在APIM所在虚拟网络的DNS配置中，添加自定义DNS记录，将Function App的域名指向其公网IP地址，强制APIM走公网路由。
  • 或取消APIM所在虚拟网络与Function App私有DNS区域的关联（如果不需要私有访问）。

3. 验证APIM的后端配置 #

• 登录APIM管理门户，检查Function App对应的后端配置，确认使用的是Function App的公网域名（而非私有IP或内部端点地址）。自动集成可能默认关联私有端点地址，需手动修改为公网地址。
• 如果APIM部署在虚拟网络内，需确保APIM的出站规则允许访问Function App的公网IP。

4. 确认Function App的访问限制规则 #

• 进入Function App的「网络」->「访问限制」页面，确认已开启「允许所有网络访问」，且未添加拒绝APIM来源IP的规则。若存在IP允许列表，需将APIM的公网IP加入允许范围。

内容的提问来源于stack exchange，提问作者Marius Tjore