Configurer Azure Application Gateway Private Link

Définir un sous-réseau pour Private Link Configuration

Pour activer Private Link Configuration, vous avez besoin d’un sous-réseau, différent du sous-réseau Application Gateway, pour la configuration d’adresse IP de liaison privée. Private Link doit utiliser un sous-réseau qui ne contient pas d’applications Application Gateway. Vous pouvez déterminer la taille du sous-réseau en fonction du nombre de connexions nécessaires pour votre déploiement. Chaque adresse IP allouée à ce sous-réseau garantit des connexions TCP simultanées de 64 K qui peuvent être établies via Private Link à un point unique dans le temps. Allouez plus d’adresses IP pour autoriser davantage de connexions via Private Link. Par exemple : n * 64K, où n est le nombre d’adresses IP à provisionner.

Effectuez les étapes suivantes pour créer un sous-réseau :

Ajouter, modifier ou supprimer un sous-réseau de réseau virtuel

Configurer une liaison privée

La configuration de liaison privée définit l’infrastructure utilisée par Application Gateway pour activer les connexions à partir de points de terminaison privés. Lors de la création de la configuration Private Link, assurez-vous qu’un écouteur utilise activement la configuration IP front-end respectée. Effectuez les étapes suivantes pour créer la configuration Private Link :

1. Accédez au Portail Azure.

2. Recherchez et sélectionnez Application Gateways.

3. Sélectionnez le nom de la passerelle d’application pour laquelle vous souhaitez activer la liaison privée.

4. Sélectionnez Liaison privée.

5. Configurez les éléments suivants :

   • Nom : nom de la configuration de liaison privée.
   • Sous-réseau de liaison privée : origine des adresses IP de sous-réseau utilisées.
   • Configuration d’adresse IP frontale : adresse IP frontale vers laquelle cette liaison privée doit transférer le trafic sur Application Gateway.
   • Paramètres d’adresse IP privée : spécifiez au moins une adresse IP

6. Sélectionnez Ajouter.

7. Dans le panneau des propriétés de Application Gateway, notez l’ID de ressource, car vous en aurez besoin si vous configurez un point de terminaison privé dans un autre tenant Microsoft Entra.

Configurer un point de terminaison privé

Un point de terminaison privé est une interface réseau qui utilise une adresse IP privée du réseau virtuel où sont les clients souhaitant se connecter à votre Application Gateway. Chacun des clients utilise l’adresse IP privée du point de terminaison privé pour acheminer le trafic vers Application Gateway. Pour créer un point de terminaison privé, effectuez les étapes suivantes :

1. Sélectionnez l’onglet Connexions de point de terminaison privé.
2. Sélectionnez Créer.
3. Sous l’onglet Informations de base, définissez un groupe de ressources, un nom et une région pour le point de terminaison privé. Cliquez sur Suivant.
4. Sous l’onglet Ressource, sélectionnez Suivant.
5. Sous l’onglet Réseau virtuel, configurez un réseau virtuel et un sous-réseau dans lesquels l’interface réseau du point de terminaison privé doit être provisionnée. Cliquez sur Suivant.
6. Sous l’onglet Étiquettes, configurez éventuellement les étiquettes de ressource. Cliquez sur Suivant.
7. Sélectionnez Create (Créer).

Pour configurer Private Link sur une passerelle Application Gateway existante en utilisant Azure PowerShell, utilisez les commandes suivantes :

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

Voici une liste de toutes les références Azure PowerShell pour la configuration de Private Link sur Application Gateway :

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Pour configurer Private Link sur une passerelle Application Gateway existante en utilisant Azure CLI, utilisez les commandes suivantes :

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Vous trouverez ici une liste de toutes les références Azure CLI pour la configuration de Private Link sur Application Gateway : Azure CLI – Private Link