Terraform配置Azure Web App Private Endpoint未启用问题排查咨询

核心问题排查 #

你混淆了Azure App Service两类完全独立的网络功能：

• azurerm_app_service_virtual_network_swift_connection 对应区域VNet集成，作用是让Web App可以主动访问VNet内部的资源，属于出站方向的网络配置，和私有端点没有任何关系，自然不会触发私有端点状态变更。
• 私有端点是给Web App提供VNet内私有访问入口的入站方向配置，需要单独创建专用资源，且对子网有特殊要求。

报错原因说明 #

你在Portal手动配置失败，是因为私有端点不允许部署在配置了Microsoft.Web/serverFarms委派的子网中：这类子网是专门给VNet集成功能预留的，和私有端点的部署要求冲突。

修正配置步骤 #

1. 拆分子网 #

单独创建私有端点专用子网，无需配置任何委派，开启私有端点网络策略：

resource "azurerm_subnet" "private_endpoint_subnet" {
  name                 = "Private_Endpoint_Subnet"
  address_prefixes     = ["10.100.6.0/28"]
  virtual_network_name = azurerm_virtual_network.demo-vnet.name
  resource_group_name  = azurerm_resource_group.rg-testing-env.name
  # 私有端点专用子网无需配置委派
  private_endpoint_network_policies_enabled = true
}

如果不需要VNet集成功能，可直接删除之前带委派的front_end子网和对应的swift连接资源。

2. 配置私有端点资源 #

# 私有端点配置
resource "azurerm_private_endpoint" "web_app_pe" {
  name                = "web-app-private-endpoint"
  location            = var.location
  resource_group_name = azurerm_resource_group.rg-testing-env.name
  subnet_id           = azurerm_subnet.private_endpoint_subnet.id

  private_service_connection {
    name                           = "web-app-pe-connection"
    private_connection_resource_id = azurerm_app_service.app-test.example.id
    # App Service私有端点对应的子资源名固定为sites
    subresource_names              = ["sites"]
    is_manual_connection           = false
  }

  # 可选配置：自动注册私有DNS解析
  private_dns_zone_group {
    name                 = "private-dns-zone-group"
    private_dns_zone_ids = [azurerm_private_dns_zone.web_app.id]
  }
}

# 可选配置：创建Web App对应的私有DNS区域
resource "azurerm_private_dns_zone" "web_app" {
  name                = "privatelink.azurewebsites.net"
  resource_group_name = azurerm_resource_group.rg-testing-env.name
}

# 可选配置：将DNS区域关联到VNet实现内部解析
resource "azurerm_private_dns_zone_virtual_network_link" "vnet_link" {
  name                  = "web-app-dns-vnet-link"
  private_dns_zone_name = azurerm_private_dns_zone.web_app.name
  resource_group_name   = azurerm_resource_group.rg-testing-env.name
  virtual_network_id    = azurerm_virtual_network.demo-vnet.id
}

3. 可选：禁用公网访问 #

如果需要完全关闭Web App的公网入口，在azurerm_app_service资源中添加如下配置：

public_network_access_enabled = false

内容的提问来源于stack exchange，提问作者Nayden Van