AGIC是否可与不同Azure订阅中的App GW建立通信？

核心结论 #

AGIC（Azure Application Gateway Ingress Controller）原生支持访问部署在其他Azure订阅下的Application Gateway资源，该场景可以正常实现。

必要前提 #

• 关联的两个Azure订阅必须归属同一个Azure AD租户，跨租户的关联场景暂不支持
• 运行AGIC所使用的身份（服务主体、用户分配托管身份），需要在目标App GW所属的订阅下具备足够操作权限，至少需要包含Microsoft.Network/applicationGateways/read、Microsoft.Network/applicationGateways/write、Microsoft.Network/applicationGateways/join/action三类权限
• 部署AGIC时需要在配置中明确填写目标App GW所属的订阅ID、资源组名称、App GW名称三类核心参数

配置注意事项 #

使用Helm部署AGIC时，需要在values配置文件中额外补充appgw.subscriptionId字段，填写目标App GW所属的订阅ID即可，其余核心配置逻辑和同订阅部署场景完全一致
若使用AAD Pod Identity为AGIC绑定权限，需要确保该Pod身份在目标App GW所属的订阅下完成角色分配，可直接使用内置的Application Gateway Contributor角色，也可自定义符合最小权限原则的专用角色

常见问题排查 #

• 出现权限类报错时，优先校验AGIC使用的身份是否在目标App GW所属订阅下有对应操作权限
• 确认目标App GW所属订阅处于正常启用状态、没有超出资源配额，且与AGIC所在订阅归属同一Azure AD租户

内容的提问来源于stack exchange，提问作者vasil001