使用Bicep创建VNet、子网和应用网关时遇NetcfgInvalidSubnet错误

问题描述 #

通过Bicep文件创建虚拟网络、子网和应用网关时，部署失败并抛出以下错误：

New-AzResourceGroupDeployment: 11:23:37 - The deployment 'AppGateway' failed with error(s). Showing 1 out of 1 error(s).
Status Message: Subnet 'NLWifiPrint-AppGateway-Subnet' is not valid in virtual network 'NetloanCloudPrint-vnet'. (Code: NetcfgInvalidSubnet)

部署已成功创建子网和公网IP，且通过Azure门户可使用该子网创建应用网关，说明子网本身满足应用网关的使用要求，但Bicep部署逻辑存在问题。

问题根源 #

从提供的Bicep代码中可定位两个核心问题：

1. 子网重复定义：在VNet资源的subnets数组中，已经预先定义了应用网关子网（使用参数vnetSubnetAppGatewayName，地址前缀10.0.4.0/24），后续又单独创建了同名（硬编码NLWifiPrint-AppGateway-Subnet）的子网资源，导致虚拟网络中出现重复的子网配置，触发NetcfgInvalidSubnet错误。
2. 依赖关系配置错误：应用网关资源仅依赖vnet，但实际需要等待单独创建的subnetAppGateway子网完成部署。当应用网关开始部署时，子网可能还未创建完成，或者因重复定义处于异常状态。

修复方案 #

方案1：统一子网管理（推荐） #

移除VNet资源中的子网预定义，所有子网通过单独的子资源创建，避免重复：

1. 修改VNet资源，删除subnets数组中的应用网关子网定义：

resource vnet 'Microsoft.Network/virtualNetworks@2020-11-01' = {
  name: vnetName
  location: location
  properties: {
    addressSpace: {
      addressPrefixes: [
        '10.0.0.0/16'
      ]
    }
    subnets: [] // 清空预定义子网，所有子网单独创建
  }
}

2. 调整subnetAppGateway资源，使用参数而非硬编码名称，保持参数一致性：

resource subnetAppGateway 'Microsoft.Network/virtualNetworks/subnets@2022-09-01' = {
  parent: vnet
  name: vnetSubnetAppGatewayName // 使用传入的参数名称
  dependsOn: [ subnetFunctions ]
  properties: {
    addressPrefix: '10.0.4.0/24'
    serviceEndpoints: []
    delegations: []
    privateEndpointNetworkPolicies: 'Disabled'
    privateLinkServiceNetworkPolicies: 'Enabled'
  }
}

3. 修正应用网关的依赖关系，确保等待子网创建完成：

resource myAppGateway 'Microsoft.Network/applicationGateways@2022-09-01' = {
  name: appGatewayName
  location: location
  properties: {
    // 其他配置保持不变
  }
  dependsOn: [ subnetAppGateway ] // 依赖子网而非VNet
}

方案2：保留VNet预定义子网 #

如果希望在VNet创建时直接包含应用网关子网，需删除单独的subnetAppGateway资源，并调整应用网关的子网引用：

// 删除单独的subnetAppGateway资源
resource myAppGateway 'Microsoft.Network/applicationGateways@2022-09-01' = {
  name: appGatewayName
  location: location
  properties: {
    gatewayIPConfigurations: [
      {
        name: 'appGatewayIpConfig'
        properties: {
          subnet: {
            id: '${vnet.id}/subnets/${vnetSubnetAppGatewayName}' // 引用VNet中预定义的子网
          }
        }
      }
    ]
    // 其他配置保持不变
  }
  dependsOn: [ vnet ]
}

额外优化：移除不必要的子网依赖链 #

原代码中每个子网依赖前一个子网的配置是多余的，Azure会自动处理虚拟网络的并发更新，可删除所有子网的dependsOn字段，提升部署效率：

resource subnetAdmin 'Microsoft.Network/virtualNetworks/subnets@2022-09-01' = {
  parent: vnet
  name: vnetSubnetAdminName
  // 删除dependsOn: [ subnetDefault ]
  properties: {
    // 配置不变
  }
}
// 同理删除subnetApi和subnetFunctions的dependsOn配置

内容的提问来源于stack exchange，提问作者Mark