Azure内部V2应用网关部署失败（终端预配状态为Failed）

1. 资源依赖与状态校验 #

• 执行terraform state list，确认当前资源组内是否存在同名应用网关、冲突子网或未清理的残留资源
• 验证网关子网配置：必须为独立专用子网（不可部署其他VM/NVA），子网掩码至少为/24，确保子网内有足够可用IP（内部V2网关至少需要2个可用IP）

2. UDR隐式干扰排查 #

• 检查网关子网关联的UDR路由表：即使默认互联网路由未被限制，需确认是否存在指向私有DNS、防火墙或NVA的路由，导致网关无法访问Azure控制平面端点
• 临时移除网关子网的UDR关联，重新触发部署，排除路由策略导致的部署阻塞
• 若必须保留UDR，需添加允许AzureCloud服务标签的路由，确保网关能正常连接Azure管理服务

3. 底层错误信息捕获 #

• 在Azure门户活动日志中筛选部署事件，复制失败事件的Correlation ID，通过该ID查询平台级详细错误（Terraform可能未返回底层报错）
• 使用Azure CLI执行az deployment group show --name <你的部署名称> --resource-group <目标资源组> --query properties.error，获取原始部署错误详情
• 提前在Terraform配置中添加azurerm_monitor_diagnostic_setting，启用应用网关的资源日志，捕获部署过程中的底层日志

4. Terraform配置与版本校验 #

• 对比成功环境的Terraform代码，重点检查SKU配置（sku_name是否为Standard_v2/WAF_v2）、子网ID、虚拟网络参数、私有IP设置是否一致
• 锁定azurerm provider版本至成功环境使用的版本（在versions.tf中指定version = "x.x.x"），避免新版本兼容性问题
• 检查是否存在循环依赖：比如后端池、健康探针等资源是否未正确定义，导致网关部署等待超时

5. 订阅配额与限制检查 #

• 查看当前订阅的应用网关配额：确认区域内网关数量、可用IP配额未达上限
• 验证子网剩余可用IP数量：若子网IP耗尽，会导致网关实例无法分配IP，最终触发部署超时

内容的提问来源于stack exchange，提问作者makred