Azure Cosmos DB启用Private Endpoint后集合列表刷新失败且容器未创建问题排查

首先确认问题根源 #

执行以下命令查看Terraform的详细执行日志：

terraform apply --debug

如果日志中azurerm_cosmosdb_sql_container资源创建时返回403 禁止访问或请求超时，同时门户报错也是网络层面的访问被拒，即可确认所有问题均由Cosmos关闭公网访问后，请求方（你的浏览器、Terraform运行环境）没有内网访问权限导致，你的Terraform资源配置语法没有错误。

1 修复门户报错Failed to refresh the collection list #

Azure门户访问Cosmos的集合列表时，会从你当前使用的浏览器客户端直接发起对Cosmos数据平面接口的请求，你配置了public_network_access_enabled = false，所有公网请求都会被直接拒绝，network_acl_bypass_for_azure_services仅对Azure官方服务（如备份、监控）生效，不覆盖普通用户的门户访问请求。
修复可选方案：

• 方案1：将你当前使用的客户端网络通过VPN/专线接入Cosmos私有端点所在的VNet，配置正确的私有DNS解析，将Cosmos账户域名解析到私有端点的内网IP，即可正常通过门户访问
• 方案2：临时调试可将public_network_access_enabled改为true，同时把你的客户端公网IP添加到Cosmos账户的IP防火墙允许列表，调试完成后改回原配置即可

2 修复Terraform无法创建SQL容器的问题 #

Terraform创建Cosmos容器时需要调用Cosmos的数据平面接口，运行terraform apply的环境（本地电脑、CI/CD流水线Agent）没有Cosmos的访问权限，导致资源创建失败。
修复可选方案：

• 方案1：将Terraform运行环境部署到与Cosmos私有端点同VNet/已打通网络的VNet内，配置私有DNS解析，保证内网可以正常访问Cosmos，无需放开公网权限
• 方案2：临时放开Cosmos公网访问，将Terraform运行环境的公网IP添加到允许列表，执行完terraform apply后再关闭公网访问、移除IP规则
• 方案3：如果是Azure DevOps/GitHub Actions等流水线，可以使用托管Agent的同时配置Azure服务端点，走Azure内部网络访问资源

长期配置建议 #

• 企业使用场景下建议将所有运维工具（Terraform流水线、运维跳板机）部署在统一的运维VNet，与业务VNet做网络 peering，所有资源均不开放公网访问，所有运维操作均走内网，兼顾安全与易用性
• 避免为了调试随意放开公网访问，减少安全暴露面

内容的提问来源于stack exchange，提问作者Pallab