如何实现Azure APIM向带专用终结点的App Service发起请求

我找到过类似问题但未得到解决方案，故提出以下问题：

我正搭建的API架构为：AGW → 带自定义域名的APIM → 启用专用终结点（Private Endpoint）的Web App（含API）。所有资源位于同一VNET内的独立NSG中。

调用API时持续收到401未授权错误，请求能到达APIM，但执行forward-request步骤失败。移除App的专用终结点后即可正常工作。
我还试过用简单的Azure Function，结果一致：启用专用终结点时请求出现500超时，移除后运行正常。

已执行的操作：

• 移除所有可能的NSG限制
• 配置私有DNS：将FQDN A记录privatelink.azurewebsites.net解析为azurewebsites.net的私有IP
• 在App Service中启用对所有IP的访问，并开启公网访问用于测试

但问题仍未解决，请问我是否存在操作错误？是否可以从APIM调用带专用终结点的Web App？

响应信息 #

forward-request (69.473 ms)
{
    "response": {
        "status": {
            "code": 401,
            "reason": "Unauthorized"
        },
        "headers": [
            {
                "name": "Content-Length",
                "value": "0"
            },
            {
                "name": "Date",
                "value": "Fri, 21 Oct 2022 11:33:00 GMT"
            },
            {
                "name": "WWW-Authenticate",
                "value": "Basic realm=\"site\""
            }
        ]
    }
}

排查方向与解决方案 #

1. 修正私有DNS配置
   你当前的DNS配置逻辑错误，正确操作是：

   • 创建专用DNS区域privatelink.azurewebsites.net
   • 在该区域添加Web App的完整FQDN（如yourapp.azurewebsites.net）对应的A记录，指向专用终结点的私有IP
   • 将APIM所在VNET链接到该专用DNS区域，确保APIM能正确解析Web App的私有地址

2. 验证网络连通性

   • 检查APIM子网与Web App专用终结点子网之间的路由表，确认没有阻断流量的自定义路由规则
   • 在APIM所在VNET内部署测试VM，直接访问Web App的私有IP或FQDN，验证基础连通性是否正常

3. 调整Web App访问策略

   • 在Web App的「网络」设置中，将APIM所在子网的IP范围添加到允许列表
   • 确认Web App未启用冲突的服务端点或IP限制规则，避免拦截APIM流量

4. 检查APIM后端配置

   • APIM后端地址需配置为Web App的原始FQDN（而非私有IP），依赖专用DNS自动解析到私有地址
   • 确保APIM转发请求时正确传递Host头，避免因Host不匹配触发Web App的认证拦截

5. 401错误针对性排查
   响应中的Basic realm="site"提示基础认证失败，需：

   • 检查Web App是否启用了基础认证，若启用则需在APIM中配置对应的认证凭据
   • 对比专用终结点启用前后Web App的认证配置，确认无异常变更

内容的提问来源于stack exchange，提问作者Thijs