私有端点、VNet、NSG — Aspire 现在接管网络管理

Emiliano Montesdeoca — Tue, 19 May 2026 00:00:00 +0000

我见过这个场景太多次了。应用程序已经完成。演示很棒。然后安全清单出现了：将存储从公共互联网移除、在 VNet 内运行、为合作伙伴允许列表提供出站 IP、证明只有正确的子网与正确的服务通信。

此时应用程序模型和基础设施模型开始以令人痛苦的方式分离。

Aspire 新的 Azure 企业网络支持直接解决了这个问题。你在 AppHost 中将网络形态描述在使用它的资源旁边。

构建块

每个 Azure 网络概念的用途，提炼如下：

这里的关键转变是你将网络与使用它的资源一起建模，而不是在随时间与应用模型产生偏离的单独 Bicep 文件中。

从 AppHost，你可以：

结果是当你运行 azd up 时，基础设施与应用模型所说需要的内容相匹配。而不是手动维护的模板所说的。

一旦在 Aspire 中建模了网络，一些事情就会变得容易很多：

Key Vault 和存储的私有端点 — 你在这些资源上描述 WithPrivateEndpoint()，Aspire 处理 DNS 区域配置和端点附加。应用程序永远不会改变。

一致的出站 IP — 向相关子网添加 NAT 网关，应用程序的每个出站请求都通过一个已知的稳定 IP。合作伙伴可以将其加入允许列表。审计人员可以追踪它。

代码中的 NSG 规则 — 不再需要在门户中点击或维护 Bicep 代码段，你的安全规则与它们保护的资源一起存在于 AppHost 中。

这是不会让演示令人兴奋但会让生产系统可维护的集成类型。

如果从一开始就与应用程序一起建模，网络安全在项目生命周期后期出现是一个已解决的问题。Aspire 的企业网络支持使这成为可能，而无需单独的基础设施轨道。