使用托管DevOps池向私有终结点后的App Service部署代码遇403错误

以下是几个容易遗漏的排查方向：

• 检查App Service访问限制规则：即使没有配置NSG，App Service自身的访问限制可能仅允许特定IP/子网访问。确保将托管DevOps池所在子网的CIDR添加到App Service「网络」->「访问限制」的允许列表中，且规则优先级高于拒绝规则。

• 验证子网的专用终结点网络策略：托管DevOps池所在的子网，需确认「专用终结点网络策略」设置为「允许」。若该策略禁用，子网内流量无法路由到私有终结点，请求会走公网被拒绝。

• 确认私有DNS区域配置：App Service的私有终结点需关联对应的私有DNS区域（privatelink.azurewebsites.net），确保托管池的代理能正确解析App Service域名到私有IP。可在池的代理上通过nslookup测试域名解析，确认返回的是私有终结点IP而非公网IP。

• 指定私有域名部署：部分部署任务默认使用App Service的公网域名，需在流水线部署任务中手动指定私有域名（格式：<你的应用名>.privatelink.azurewebsites.net），确保请求走私有终结点链路。

• 检查托管池的网络隔离设置：确认托管DevOps池的网络配置中，未启用额外出站流量限制，确保允许到App Service 443端口的流量。

另外，可在流水线中添加测试步骤，用curl测试对App Service私有域名的访问，确认是否能正常连通，帮助定位是DNS解析问题还是权限限制问题。

内容的提问来源于stack exchange，提问作者Kevin