Azure Terraform部署报错：子网委派与专用端点创建冲突

核心冲突原因 #

Azure子网的服务委派机制是问题根源：

• 当子网被委派给Microsoft.Web/serverFarms时，该子网会被锁定为仅用于App Service托管计划部署，Azure禁止在这类子网中创建其他服务（如SQL、Blob、CosmosDB）的专用端点——这是平台级的资源隔离限制，并非Terraform 1.5或Azure RM Provider 3.65的bug。
• 反之，若删除子网的Microsoft.Web/serverFarms委派，App Service托管计划无法正常关联子网，触发“缺少必需委派”的报错，因为App Service要求托管子网必须完成对应服务委派。

解决方法 #

拆分子网，通过资源隔离规避冲突：

• 创建两个独立子网：
  1. App Service专用子网：配置Microsoft.Web/serverFarms委派，仅用于部署App Service托管计划及关联的App Service实例。
  2. 专用端点子网：不配置服务委派（或按需针对特定服务配置），专门用于部署Azure SQL、Blob存储、CosmosDB的专用端点。

Terraform代码示例片段 #

# 定义虚拟网络
resource "azurerm_virtual_network" "main" {
  name                = "main-vnet"
  address_space       = ["10.0.0.0/16"]
  location            = azurerm_resource_group.main.location
  resource_group_name = azurerm_resource_group.main.name
}

# App Service专用子网（带委派）
resource "azurerm_subnet" "app_service" {
  name                 = "app-service-subnet"
  resource_group_name  = azurerm_resource_group.main.name
  virtual_network_name = azurerm_virtual_network.main.name
  address_prefixes     = ["10.0.1.0/24"]

  delegation {
    name = "web-farm-delegation"

    service_delegation {
      name    = "Microsoft.Web/serverFarms"
      actions = ["Microsoft.Network/virtualNetworks/subnets/action"]
    }
  }
}

# 专用端点专用子网（无委派）
resource "azurerm_subnet" "private_endpoints" {
  name                 = "private-endpoints-subnet"
  resource_group_name  = azurerm_resource_group.main.name
  virtual_network_name = azurerm_virtual_network.main.name
  address_prefixes     = ["10.0.2.0/24"]

  # 启用专用端点网络策略（默认启用，部分服务依赖）
  private_endpoint_network_policies_enabled = true
}

额外注意事项 #

• 专用端点子网需确保private_endpoint_network_policies_enabled处于启用状态，部分服务的专用端点依赖此配置。
• 若需更细粒度的资源隔离，可针对每个服务的专用端点创建独立子网，但通用子网已能满足基础部署需求。

内容的提问来源于stack exchange，提问作者Milan M.