使用Terraform为Azure Function App创建私有端点报GroupId无效错误

根因说明 #

报错GroupId is invalid的核心原因是azurerm_private_endpoint资源中subresource_names参数配置错误：
你填写的["blob"]是Azure存储账户Blob服务对应的子资源标识，仅用于对接存储账户的私有端点。本次要对接的资源是Azure Function App（属于Microsoft.Web/sites类型资源），它对应的私有端点子资源标识为sites，两者不匹配导致请求被拒绝。

修正后的私有端点配置代码 #

resource "azurerm_private_endpoint" "examplepe" {
  name                = "example-endpoint"
  location            = azurerm_resource_group.example.location
  resource_group_name = azurerm_resource_group.example.name
  subnet_id           = azurerm_subnet.endpoint.id  # 请替换为实际子网ID

  private_service_connection {
    name                           = "example-privateserviceconnection"
    is_manual_connection           = false
    private_connection_resource_id = azurerm_function_app.example.id
    # 修正为Function App对应的子资源标识
    subresource_names  = ["sites"]
  }
}

额外部署注意事项 #

• 承载私有端点的子网需要提前关闭私有端点网络策略，需要在azurerm_subnet资源中配置private_endpoint_network_policies_enabled = false，否则会触发子网相关的部署报错。
• 如果你需要限制Function App仅能通过私有端点访问，可在azurerm_function_app资源中添加配置public_network_access_enabled = false，关闭公网访问入口。
• 若同时需要为Function App关联的存储账户配置私有端点，需要单独创建针对存储账户的私有端点资源，再配置对应的subresource_names（存储账户的子资源通常包含blob、file、table、queue），不要和Function App本身的私有端点配置混淆。

内容的提问来源于stack exchange，提问作者Daniel