Не удается развернуть NSG для шлюза приложений версии 2

У меня возникли проблемы с развертыванием группы безопасности сети (NSG) для подсети, в которой размещен шлюз приложений (AG).

Во время развертывания я получаю следующую ошибку (я удалил пути ресурсов для удобства чтения):

Группа безопасности сети nsg-acc-waf блокирует входящий интернет-трафик через порты 65200–65535 в подсеть snet-acc-waf, связанную со шлюзом приложений agw-acc. Это не разрешено для шлюзов приложений с номером V2.

Все выглядит хорошо согласно инструкциям по настройке на https://learn.microsoft.com/en-us/azure/application-gateway/configuration-infrastructure#allow-access-to-a-few-source-ips

Вот бицепс, который я создал с помощью приведенных выше инструкций, и мой вопрос касается nsgRule110:

resource wafNsg 'Microsoft.Network/networkSecurityGroups@2021-03-01' = {
  name: 'nsg-${environmentName}-waf'
  location: location

  resource nsgRule100 'securityRules' = {
    name: 'AllowPublicIPAddress'
    properties: {
      access: 'Allow'
      description: 'Allow traffic from Public IP Address.'
      destinationAddressPrefix: '*'
      destinationPortRange: '443'
      direction: 'Inbound'
      priority: 100
      protocol: 'Tcp'
      sourceAddressPrefix: publicIpAddress
      sourcePortRange: '*'
    }
  }

  resource nsgRule101 'securityRules' = {
    name: 'AllowInternetAccess'
    properties: {
      access: 'Allow'
      description: 'Allow traffic from Internet on port 443.'
      destinationAddressPrefix: '*'
      destinationPortRange: '443'
      direction: 'Inbound'
      priority: 101
      protocol: 'Tcp'
      sourceAddressPrefix: 'Internet'
      sourcePortRange: '*'
    }
  }

  resource nsgRule110 'securityRules' = {
    name: 'AllowGatewayManager'
    properties: {
      access: 'Allow'
      description: 'Allow traffic from GatewayManager. This port range is required for Azure infrastructure communication.'
      destinationAddressPrefix: '*'
      destinationPortRange: '65200-65535'
      direction: 'Inbound'
      priority: 110
      protocol: '*'
      sourceAddressPrefix: 'GatewayManager'
      sourcePortRange: '*'
    }
  }

  resource nsgRule120 'securityRules' = {
    name: 'AllowAzureLoadBalancer'
    properties: {
      access: 'Allow'
      description: 'Allow traffic from AzureLoadBalancer.'
      destinationAddressPrefix: '*'
      destinationPortRange: '*'
      direction: 'Inbound'
      priority: 120
      protocol: '*'
      sourceAddressPrefix: 'AzureLoadBalancer'
      sourcePortRange: '*'
    }
  }

  resource nsgRule4096 'securityRules' = {
    name: 'DenyAllInboundInternet'
    properties: {
      access: 'Deny'
      description: 'Deny all traffic from Internet.'
      destinationAddressPrefix: '*'
      destinationPortRange: '*'
      direction: 'Inbound'
      priority: 4096
      protocol: '*'
      sourceAddressPrefix: 'Internet'
      sourcePortRange: '*'
    }
  }
}

Я также пробовал устанавливать sourceAddressPrefix: 'Internet' и sourceAddressPrefix: '*' (где атрикс — Any). Отвечено в: Шлюз приложений Azure версии 2 нельзя настроить с помощью NSG и Добавить NSG в подсеть шлюза приложений

Я не могу понять, что с ним не так. Похоже, что это правило проверки срабатывает только во время развертывания.

Я пробовал добавлять правила вручную при привязке к подсети, и это работает. Также добавление NSG без привязки ее напрямую к подсети через развертывание, но в конечном итоге привязка вручную, похоже, работает. Единственный случай, когда это не работает, — это когда группа безопасности сети уже привязана к подсети (используемой группой доступности), а затем (повторно) развернута.

Кто-нибудь может помочь мне с этим, пожалуйста?