添加VNET集成时Azure Container Apps环境创建遭资源组策略限制报错

我正尝试通过Terraform的AzAPI提供程序创建Azure Container Apps环境，配置如下：

resource "azapi_resource" "aca_env" {
  type      = "Microsoft.App/managedEnvironments@2022-03-01"
  parent_id = azurerm_resource_group.rg.id
  location  = azurerm_resource_group.rg.location
  name      = var.ACA_ENV_NAME
  body = jsonencode({
    properties = {
      appLogsConfiguration = {
        destination               = "log-analytics"
        logAnalyticsConfiguration = {
          customerId = azurerm_log_analytics_workspace.log.workspace_id
          sharedKey  = azurerm_log_analytics_workspace.log.primary_shared_key
        }
      }
      daprAIConnectionString = azurerm_application_insights.insights.connection_string
      vnetConfiguration = {
        "internal" = true
        "infrastructureSubnetId" = azurerm_subnet.aca_subnet.id
        "dockerBridgeCidr" = var.ACA_ENV_BRIDGE_CIDR
        "platformReservedCidr" = var.ACA_ENV_RESERVED_CIDR
        "platformReservedDnsIP" = var.ACA_ENV_RESERVED_DNS_IP
      }
    }
  })
  depends_on = [
    azurerm_subnet.aca_subnet
  ]
  response_export_values  = ["properties.defaultDomain", "properties.staticIp"]
  ignore_missing_property = true
}

执行时出现以下错误：

ErrorCode: ManagedEnvironmentResourceGroupDisallowedByPolicy, Message: Fail to create managed environment because resource group creation is disallowed by policy.

我猜测它在尝试创建资源组，但我们要求资源组必须包含特定标签，这可能是失败原因。奇怪的是，尽管报错，Azure Container Apps环境仍被创建；移除VNET配置后，环境可正常创建无报错。我的问题是：为何它还要尝试创建资源组？我已在parent_id属性中引用了现有资源组。

核心原因 #

当配置内部VNET模式（vnetConfiguration.internal = true）创建ACA环境时，Azure会自动生成一个托管资源组（命名格式通常为MC_<现有资源组名>_<ACA环境名>_<区域>），用于存放ACA运行依赖的底层基础设施资源（如负载均衡器、VNET辅助资源等）。这个托管资源组是Azure服务自动创建的独立资源，和你指定的现有资源组无关联——即使通过parent_id指定了现有资源组作为ACA的父资源，Azure仍会触发该托管资源组的创建流程。

而移除VNET配置后，ACA默认使用外部模式，此时无需额外创建托管资源组来存放内部VNET相关基础设施，因此不会触发资源组创建的政策校验，也就不会报错。

报错但环境已创建的原因 #

ACA环境的创建流程是分步执行的：先完成核心资源部署，再尝试创建托管资源组。当托管资源组的创建触发你的资源组标签政策限制时，这一步会失败报错，但此时ACA核心资源已部署完成，所以会出现环境存在但报错的情况。

解决方向 #

1. 调整Azure政策：修改现有资源组政策，允许创建以MC_开头的托管资源组，并配置自动为这类资源组添加要求的标签；
2. 预配置托管资源组：提前手动创建符合命名格式的托管资源组并添加所需标签（注意：托管资源组由Azure自动管理，后续可能会被服务修改或删除，此方式需谨慎）。

内容的提问来源于stack exchange，提问作者Dimitri Mestdagh