在将Azure SQL受管实例部署到子网之后，NSG可以应用于子网吗？

Question

在将SQL MI部署到子网之后，可以将NSG应用于子网吗？

https://docs.microsoft.com/en-us/azure/sql-database/sql-database-managed-instance-vnet-configuration

保存时出现以下错误：

“无法保存子网'managed-sql-dev-corp'。错误：“发现与NetworkIntentPolicy冲突。详细信息：子网或虚拟网络不能具有与网络意图策略相冲突的资源或属性。”

是由Azure服务创建的“网络意图策略”还是我自己的策略之一？

Answer 1

一旦将受管实例部署在有效的网络/子网中，它将强制执行一些“意图策略”，以防止您进行一些会使子网无效的配置。

作为示例，受管实例只能部署在不包含其他VM的子网中。部署受管实例后，它将设置意图规则，不允许您在此子网中创建VM，并在部署后使该子网无效。没有这些规则，您将能够阻止对托管实例的访问。它不能阻止所有内容，但是此意图策略是托管实例用来防止某人重新配置子网的第一道防线。

下面是可以在NSG中使用的出站规则的示例。

• 规则allow_management_inbound允许管理流量到达 实例。
• 规则allow_misubnet_inbound允许之间的通信 形成托管实例群集的虚拟机。
• 规则allow_health_probe允许从虚拟机进行运行状况检查 主办。没有它，服务结构将认为节点不健康 并阻止访问。
• 规则allow_tds_inbound是可选的，但如果没有此规则，则无法访问托管实例。建议尽可能缩小其IP范围。

优先级数字不必如图所示，但是前3个规则的优先级必须高于任何“拒绝”规则。

要符合托管实例网络意图策略，NSG必须具有在列表顶部分别编号为100和200的规则。

• 规则allow_management_outbound允许管理流量到达所依赖的服务实例。
• 规则allow_misubnet_outbound允许形成托管实例群集的虚拟机之间进行通信。

优先级数字不必如图所示，但前2个规则的优先级必须高于任何“拒绝”规则。

受管实例的其他功能可能需要打开其他端口。这将在特定功能文档中定义。