Azure IoT Hub私有端点DeployIfNotExists策略缺失服务总线A记录咨询

你当前部署的DeployIfNotExists（DINE）策略仅覆盖了IoT Hub私有端点iotHub组对应的DNS记录配置，遗漏了IoT Hub内置服务总线功能对应的serviceBus私有端点组配置，导致仅能生成privatelink.azure-devices.net的A记录。

• 第一步：在策略参数中新增两个私有DNS区域的资源ID参数，示例如下：

"parameters": {
    "privateDnsZoneIdAzureDevices": {
        "type": "string",
        "metadata": {
            "displayName": "私有DNS区域ID（azure-devices.net）",
            "description": "privatelink.azure-devices.net对应的私有DNS区域资源ID"
        }
    },
    "privateDnsZoneIdServiceBus": {
        "type": "string",
        "metadata": {
            "displayName": "私有DNS区域ID（servicebus.windows.net）",
            "description": "privatelink.servicebus.windows.net对应的私有DNS区域资源ID"
        }
    }
}

• 第二步：调整存在性判断（existenceCondition）逻辑，需同时匹配两个私有DNS区域的关联关系才算合规：

"existenceCondition": {
    "allOf": [
        {
            "field": "Microsoft.Network/privateEndpoints/privateDnsZoneGroups[*].privateDnsZoneConfigs[*].privateDnsZoneId",
            "equals": "[parameters('privateDnsZoneIdAzureDevices')]"
        },
        {
            "field": "Microsoft.Network/privateEndpoints/privateDnsZoneGroups[*].privateDnsZoneConfigs[*].privateDnsZoneId",
            "equals": "[parameters('privateDnsZoneIdServiceBus')]"
        }
    ]
}

• 第三步：修改部署部分的私有DNS区域配置数组，同时加入两个区域的关联配置：

"properties": {
    "privateDnsZoneConfigs": [
        {
            "name": "azure-devices-dns-config",
            "properties": {
                "privateDnsZoneId": "[parameters('privateDnsZoneIdAzureDevices')]"
            }
        },
        {
            "name": "servicebus-dns-config",
            "properties": {
                "privateDnsZoneId": "[parameters('privateDnsZoneIdServiceBus')]"
            }
        }
    ]
}

• 策略更新后，先手动创建一个关联两个私有DNS区域的IoT Hub私有端点，确认两个A记录均可正常生成，排除DNS区域权限、IoT Hub配置异常的问题。
• 触发现有不符合规范的私有端点的策略修正任务，验证DNS记录自动部署效果。

内容的提问来源于stack exchange，提问作者Kumar G