Terraform创建的Synapse DFS专用托管端点审批未生效问题求助

使用Terraform可成功在Synapse中创建托管专用端点（PEP），但针对Azure存储账户（数据湖dfs）的PEP审批PowerShell脚本无法正常生效。脚本已识别到PEP处于Pending状态并执行了az network private-endpoint-connection approve命令，但Azure门户和Synapse界面中仍显示审批未通过。

相关PowerShell代码 #

$text = $(az network private-endpoint-connection list --id "/subscriptions/XXXXXX/resourceGroups/isl-lds-ABC-solution-rg/providers/Microsoft.Storage/storageAccounts/XXXXXXXdatalakesa")    
$json = $text | ConvertFrom-Json

foreach($connection in $json)
{   
    $privateEndpointConnectionId = $connection.id    
    $privateEndpointId = $connection.properties.privateEndpoint.id    
    $status = $connection.properties.privateLinkServiceConnectionState.status 

    Write-Host '*********************'
    Write-Host 'Current Status:'

    Write-Host 'privateEndpointConnectionId:'
    Write-Host $privateEndpointConnectionId
    
    Write-Host 'privateEndpointId:'
    Write-Host $privateEndpointId
    Write-Host $status       

    if($status -eq "Pending"){              
        Write-Host ''
        Write-Host 'About to Approve:'
        Write-Host $privateEndpointConnectionId
        Write-Host $status
        az network private-endpoint-connection approve --id $privateEndpointConnectionId --description "Approved in Terraform"
    }
};

状态截图 #

排查建议 #

• 核对资源ID准确性：确认az network private-endpoint-connection list命令中指定的存储账户资源ID无拼写错误，包括订阅ID、资源组名称、存储账户名称。
• 验证权限配置：执行脚本的账号需具备存储账户的Microsoft.Network/privateEndpointConnections/approve/action权限，可通过Azure RBAC检查权限分配。
• 查看命令执行日志：在az network private-endpoint-connection approve后添加--debug参数，获取详细执行日志，排查是否存在报错或权限不足问题。
• 确认关联资源类型：检查$connection.properties.privateLinkServiceConnectionState.properties.groupIds值，确保审批的是dfs子资源，而非存储账户的其他端点（如blob、file）。
• 添加延迟重试：Azure资源状态同步存在延迟，可在审批命令后添加Start-Sleep -Seconds 30等待，再重新查询状态确认结果。

内容的提问来源于stack exchange，提问作者Ian Carrick