通过Bicep部署Queue、Blob和ADLS2私有端点遇访问异常

以下是针对你遇到的多私有端点部署后部分资源无法访问问题的核心排查方向：

1. 私有端点groupId配置错误 #

不同存储资源对应的groupId是固定值，必须严格匹配：

• Blob存储：['blob']
• Queue存储：['queue']
• ADLS Gen2（启用分层命名空间的存储账户）：['dfs']
  检查你的Bicep代码，确认storageAccountTemp的Queue端点没有错误使用blob的groupId，ADLS2端点没有误用blob的groupId——错误的groupId会导致私有端点无法关联对应存储服务，直接引发访问失败。

2. Private DNS Zone配置问题 #

多私有端点同时部署时，DNS解析异常是常见诱因：

• 确保每个私有端点关联了正确的Private DNS Zone：
  • Blob：privatelink.blob.core.windows.net
  • Queue：privatelink.queue.core.windows.net
  • ADLS2：privatelink.dfs.core.windows.net
• 验证VM所在VNET已链接到上述所有Private DNS Zone。可在VM上执行命令nslookup <存储账户名>.blob.core.windows.net，若解析结果为公网IP，说明DNS配置存在问题。

3. 资源依赖关系缺失 #

Bicep并行部署可能导致私有端点在存储账户或DNS链接未就绪时创建，需显式添加依赖：

resource privateEndpointBlob 'Microsoft.Network/privateEndpoints@2023-05-01' = {
  name: 'pe-${storageAccountTemp.name}-blob'
  location: location
  dependsOn: [
    storageAccountTemp
    privateDnsZoneBlobLink // VNET与Blob私有DNS Zone的链接资源
  ]
  // 其他配置
}

为三个私有端点分别添加对应存储账户和DNS链接的依赖，确保资源创建顺序正确。

4. 存储账户防火墙与私有端点连接状态 #

• 确认存储账户的networkAcls中defaultAction设为Deny，且对应的私有端点连接状态为Approved：

resource storageAccountTemp 'Microsoft.Storage/storageAccounts@2023-05-01' = {
  name: storageAccountTempName
  properties: {
    networkAcls: {
      defaultAction: 'Deny'
      privateEndpointConnections: [
        {
          id: privateEndpointBlob.id
          properties: { status: 'Approved' }
        }
        {
          id: privateEndpointQueue.id
          properties: { status: 'Approved' }
        }
      ]
    }
    // 其他配置
  }
}

若私有端点连接状态为Pending，存储账户会拒绝该端点的访问请求。

5. 子网NSG与路由表限制 #

检查私有端点所在子网的NSG，确保入站规则允许VM所在子网的HTTPS（443端口）流量；同时确认路由表无自定义路由将VM到私有端点的流量转发至公网，导致VNET内访问失效。

内容的提问来源于stack exchange，提问作者Tim