通过托管标识和专用端点从 Azure WebApp 访问 Azure SQL

Question

我有一个托管在 Linux Azure WebApp 上的 AspNetCore3.1 应用程序。我已经启用了私有端点。一切都像一个魅力。 现在要添加 DB 交互，我已经为 Web 应用程序启用了系统分配的托管标识 (MI)，并将其作为包含的用户添加到我的 Azure SQL PaaS。但是，我在连接数据库时遇到错误：

连接被拒绝，因为拒绝公共网络访问设置为是 (https://docs.microsoft.com/azure/azure-sql/database/connectivity-settings#deny-public-network-access)。 要连接到此服务器，请从您的内部使用专用端点 虚拟网络 (https://docs.microsoft.com/azure/sql-database/sql-database-private-endpoint-overview#how-to-set-up-private-link-for-azure-sql-database)。 在 Microsoft.Data.ProviderBase.DbConnectionPool.CheckPoolBlockingPeriod（异常 e)

也为 SQL DB 配置了 Private Endpoint。这个位于不同的子网中，但与 webapp 的专用终结点所在的 VNet 相同。

-更新：我已验证即使我从 webApp 中删除 Private Endpoint 仍然会引发错误。

我在这里错过了什么？

Answer 1

错误消息表明您正尝试从您的 Web 应用程序通过公共网络访问 SQL 服务器。您需要在 VNet 中限制来自 Web 应用程序的传出流量，然后才能为 SQL 服务器使用专用终结点。阅读using Private Endpoints for Azure Web App。

Private Endpoint 仅用于您的 Web 应用程序的传入流。 传出流不会使用此 Private Endpoint，但您可以注入 通过 VNet 传出流到不同子网中的网络 集成功能。

当您在 SQL Server 中添加专用终结点连接时，您将看到在您为 SQL Server 创建专用终结点的 VNet 中有 Microsoft.Sql 的服务终结点和专用终结点。

通过专用链接将 Azure Web 应用程序访问到专用网络中的 SQL 服务器。您需要在同一 VNet 的另一个空子网中启用 VNet Integration for your web app。默认情况下，你的应用不能与 Azure DNS 专用区域一起使用。要使用 Azure DNS 专用区域，您需要添加以下应用设置：

WEBSITE_DNS_SERVER with value 168.63.129.16
WEBSITE_VNET_ROUTE_ALL with value 1

测试结果在原生 Windows 应用中

从 web 应用到 SQL db，配置了上述两个应用设置 WEBSITE_DNS_SERVER 和 WEBSITE_VNET_ROUTE_ALL，它解析为私有 IP 地址。

从 Web 应用到 SQL db，应用设置为 WEBSITE_DNS_SERVER，值为 168.63.129.16，使用私有 DNS 区域且未配置 WEBSITE_VNET_ROUTE_ALL。它解析为公共 IP 地址。