如何在Bicep中为子网可选配置网络安全组（NSG）

你可以利用Bicep的条件属性特性来实现需求，无需拆分模块，直接在子网资源中根据参数是否存在来决定是否添加networkSecurityGroup属性，同时要条件引用已存在的NSG资源，避免参数为空时出现查找错误。

正确代码示例 #

// 仅当传入有效的NSG名称时，才引用已存在的NSG资源
resource nsg 'Microsoft.Network/networkSecurityGroups@2023-05-01' existing = if (!empty(networkSecurityGroupName)) {
  name: networkSecurityGroupName
}

resource subnet 'Microsoft.Network/virtualNetworks/subnets@2020-11-01' = {
  name: name
  parent: vnet
  properties: {
    addressPrefix: range
    // 条件添加NSG关联配置：仅当NSG名称非空时，才包含该属性
    networkSecurityGroup: if (!empty(networkSecurityGroupName)) {
      id: nsg.id
    }
    delegations: [
      {
        name: 'delegation'
        properties: {
          serviceName: 'Microsoft.Web/serverfarms'
        }
        type: 'Microsoft.Network/virtualNetworks/subnets/delegations'
      }
    ]
    privateEndpointNetworkPolicies: 'Disabled'
    privateLinkServiceNetworkPolicies: 'Enabled'
  }
}

为什么之前的方法会报错 #

你之前拆分模块的方式，本质是尝试单独更新子网的NSG配置，但Azure资源更新时需要包含所有必填属性（比如addressPrefix），模块中只设置了networkSecurityGroup，缺少必填的地址前缀，因此触发了Address prefix string for resource cannot be null or empty错误。

而使用条件属性的方式，所有必填属性（如addressPrefix）始终存在，仅根据参数动态决定是否添加NSG关联属性，既满足了可选配置的需求，又符合Azure资源的部署规则。

内容的提问来源于stack exchange，提问作者Don Chambers