如何通过ARM模板将子网部署到跨资源组的现有Azure虚拟网络？

你的问题核心在于：默认的resourceId()函数和子网部署逻辑会默认使用当前部署的资源组，而当VNet、NSG或UDR位于其他资源组时，ARM就会找不到这些资源。下面是具体的修改方案：

关键修改点 #

1. 指定VNet所在资源组：子网是VNet的子资源，必须通过scope属性告诉ARM去目标资源组查找父VNet，而不是当前部署的资源组。
2. 跨资源组生成资源ID：对于NSG和UDR，需要在resourceId()函数中显式传入它们所在的资源组名称，否则会默认取当前资源组。
3. 补充必要参数：新增参数来接收VNet、NSG、UDR所在的资源组信息（支持统一资源组或每个子网独立资源组两种场景）。

修改后的代码示例 #

场景1：NSG和UDR都在同一个资源组，VNet在另一个资源组 #

{
  "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "existingVNETName": {
      "type": "string",
      "metadata": { "description": "名称：现有虚拟网络" }
    },
    "existingVNETResourceGroup": {
      "type": "string",
      "metadata": { "description": "资源组：现有虚拟网络所在的资源组" }
    },
    "subnetNames": {
      "type": "array",
      "metadata": { "description": "数组：要创建的子网名称列表" }
    },
    "subnetAddresses": {
      "type": "array",
      "metadata": { "description": "数组：每个子网的地址前缀列表" }
    },
    "subnetNSGs": {
      "type": "array",
      "metadata": { "description": "数组：每个子网要关联的NSG名称列表" }
    },
    "subnetUDRs": {
      "type": "array",
      "metadata": { "description": "数组：每个子网要关联的UDR名称列表" }
    },
    "nsgUdrResourceGroup": {
      "type": "string",
      "metadata": { "description": "资源组：所有NSG和UDR所在的资源组" }
    }
  },
  "resources": [
    {
      "apiVersion": "2017-10-01",
      "type": "Microsoft.Network/virtualNetworks/subnets",
      "scope": "[resourceGroup(parameters('existingVNETResourceGroup')).id]",
      "copy": {
        "name": "subnetCopy",
        "mode": "serial",
        "count": "[length(parameters('subnetNames'))]"
      },
      "name": "[concat(parameters('existingVNETName'), '/', parameters('subnetNames')[copyIndex()])]",
      "location": "[resourceGroup(parameters('existingVNETResourceGroup')).location]",
      "properties": {
        "addressPrefix": "[parameters('subnetAddresses')[copyIndex()]]",
        "networkSecurityGroup": {
          "id": "[resourceId(parameters('nsgUdrResourceGroup'), 'Microsoft.Network/networkSecurityGroups', parameters('subnetNSGs')[copyIndex()])]"
        },
        "routeTable": {
          "id": "[resourceId(parameters('nsgUdrResourceGroup'), 'Microsoft.Network/routeTables', parameters('subnetUDRs')[copyIndex()])]"
        }
      }
    }
  ]
}

场景2：每个子网的NSG/UDR在不同资源组 #

如果你的NSG或UDR分散在多个资源组中，可以将资源组参数改为数组，与子网一一对应：

// 参数部分新增两个数组参数
"subnetNSGResourceGroups": {
  "type": "array",
  "metadata": { "description": "数组：每个NSG所在的资源组列表" }
},
"subnetUDRResourceGroups": {
  "type": "array",
  "metadata": { "description": "数组：每个UDR所在的资源组列表" }
}

// 资源部分修改NSG和UDR的resourceId
"networkSecurityGroup": {
  "id": "[resourceId(parameters('subnetNSGResourceGroups')[copyIndex()], 'Microsoft.Network/networkSecurityGroups', parameters('subnetNSGs')[copyIndex()])]"
},
"routeTable": {
  "id": "[resourceId(parameters('subnetUDRResourceGroups')[copyIndex()], 'Microsoft.Network/routeTables', parameters('subnetUDRs')[copyIndex()])]"
}

额外注意事项 #

• 权限要求：执行部署的身份（用户或服务主体）需要：
  • 在VNet所在资源组拥有Microsoft.Network/virtualNetworks/subnets/write权限（用于创建子网）
  • 在NSG/UDR所在资源组拥有Microsoft.Network/networkSecurityGroups/read和Microsoft.Network/routeTables/read权限（用于获取资源ID）
• 区域一致性：确保子网的区域与VNet区域一致（代码中已通过resourceGroup(parameters('existingVNETResourceGroup')).location自动对齐）

内容的提问来源于stack exchange，提问作者Pradeep