如何通过Bicep将Azure防火墙关联到Front Door Premium策略？

结论 #

你的Bicep配置本身没有问题，该现象是Azure Portal的常见展示差异，不代表WAF关联未生效。

原因说明 #

• Front Door Premium/Standard属于新一代CDN资源，WAF关联逻辑和旧版Classic Front Door完全不同：旧版是直接在WAF策略资源上绑定Front Door实例，新版是通过Front Door Profile下的securitypolicies资源完成关联，你写的Bicep资源定义完全符合新版的配置规范。
• 目前Azure Portal的WAF策略详情页的「关联的应用程序」列表默认仅展示旧版Classic Front Door、应用网关这类资源的关联，不会自动同步展示通过Security Policy关联的新版Front Door Premium/Standard实例，属于Portal展示层的已知差异，不是配置错误。

生效验证方法 #

• 功能验证：将WAF策略调整为阻止模式，构造包含SQL注入、XSS特征的测试请求发送到你的Front Door域名，确认是否返回403状态码，同时可在WAF日志中查询到拦截记录即可证明配置生效。
• 配置校验：执行Azure CLI命令 az afd security-policy show --profile-name <你的Front Door Profile名称> --name AzureFDTest-ac196269 --resource-group <你的资源组名称>，检查返回结果中properties.parameters.wafPolicy.id是否和你的WAF策略资源ID一致，associations下是否包含你的目标Endpoint资源即可。

Bicep优化建议 #

• Security Policy的名称无需沿用Portal自动生成的带随机后缀的名称，可自定义易读的名称（如waf-assoc-testendpoint），不会影响配置逻辑。
• 可将资源API版本从2020-09-01升级为更高的稳定版（如2023-05-01），减少跨版本兼容问题。

内容的提问来源于stack exchange，提问作者agw2021