如何从Azure App Service（Web App）访问私有Azure Container Instance

因不同Azure服务对子网委托的要求互斥，无法部署到同一子网，可通过拆分同一VNet下的独立子网实现内网互通，具体操作步骤如下：

• 拆分现有VNet的子网
  在你已创建的虚拟网络中新增两个独立的专属子网：
  • 给App Service使用的子网，委托配置为Microsoft.Web/serverfarms，子网掩码最小要求为/27（含32个可用地址）
  • 给Azure Container Instance使用的子网，委托配置为Microsoft.ContainerInstance/containerGroups，子网掩码可根据ACI部署规模选择/24或更小
• 绑定资源到对应子网
  • App Service配置VNet集成：进入App Service控制台→「网络」→「出站流量配置」→「VNet集成」，选择对应VNet和刚才创建的App Service专属子网，注意：App Service需要为标准、高级或隔离SKU层级才支持VNet集成功能
  • ACI绑定专属子网：若为新建ACI，部署时直接指定对应VNet和ACI专属子网即可；若为已运行的ACI，需要重建实例时指定子网配置
• 验证内网连通性
  同一VNet下的不同子网默认放行所有内网互访流量，你可以通过App Service的Kudu高级工具，执行tcpping <ACI私有IP>:<微服务端口>验证连通性，验证通过后即可直接通过ACI的私有IP、或配置私有DNS域名调用微服务
• 可选安全加固
  如需限制微服务的访问范围，可在ACI子网关联的网络安全组中添加入站规则：仅允许来源为App Service子网网段的流量访问微服务对应端口，拦截其他非必要入站请求

内容的提问来源于stack exchange，提问作者ttncrch