Integrare Inoltro di Azure con collegamento privato di Azure

Il servizio Collegamento privato di Azure consente di accedere ai servizi di Azure, come ad esempio a Inoltro di Azure, al bus di servizio di Azure, ad Hub eventi di Azure, ad Archiviazione di Azure e ad Azure Cosmos DB, nonché ai servizi di clienti/partner ospitati in Azure tramite un endpoint privato nella rete virtuale. Per altre informazioni, vedere Che cos'è Collegamento privato di Azure?.

Un endpoint privato è un'interfaccia di rete che consente ai carichi di lavoro in esecuzione in una rete virtuale di connettersi privatamente e in modo sicuro a un servizio che dispone di una risorsa di collegamento privato (ad esempio, uno spazio dei nomi di Inoltro). L'endpoint privato usa un indirizzo IP privato della rete virtuale, introducendo efficacemente il servizio nella rete virtuale. Tutto il traffico verso il servizio può essere instradato tramite l'endpoint privato, quindi non sono necessari gateway, dispositivi NAT, ExpressRoute, connessioni VPN oppure indirizzi IP pubblici. Il traffico tra la rete virtuale e il servizio attraversa la rete backbone Microsoft, impedendone l'esposizione alla rete Internet pubblica. È possibile fornire un livello di granularità nel controllo di accesso consentendo le connessioni a spazi dei nomi di Inoltro di Azure specifici.

Prerequisiti

Per integrare uno spazio dei nomi di Inoltro di Azure con collegamento privato di Azure, sono necessarie le entità o le autorizzazioni seguenti:

• Uno spazio dei nomi di Inoltro di Azure.
• Una rete virtuale di Azure.
• Una subnet nella rete virtuale.
• Autorizzazioni come proprietario o collaboratore sulla rete virtuale.

Aggiungere un endpoint privato con il portale di Azure

L'endpoint privato e la rete virtuale devono trovarsi nella stessa area. Quando si seleziona un'area per l'endpoint privato tramite il portale, verranno automaticamente filtrate solo le reti virtuali presenti in tale area. Lo spazio dei nomi può trovarsi in un'area diversa.

L'endpoint privato usa un indirizzo IP privato nella rete virtuale.

Configurare l'accesso privato per uno spazio dei nomi di inoltro

La procedura seguente fornisce istruzioni dettagliate per disabilitare l'accesso pubblico a uno spazio dei nomi di inoltro e quindi aggiungere un endpoint privato allo spazio dei nomi .

1. Accedere al portale di Azure.

2. Nella barra di ricerca, digitare Inoltri.

3. Selezionare nell'elenco lo spazio dei nomi in cui si vuole aggiungere un endpoint privato.

4. Nel menu a sinistra selezionare la scheda Rete in Impostazioni.

5. Nella pagina Networking, per Accesso alla rete pubblica, selezionare Disabilitato se si desidera che lo spazio dei nomi sia accessibile solo tramite endpoint privati.

6. Per Consenti ai servizi Microsoft attendibili di ignorare questo firewall, selezionare Sì se si desidera consentire ai servizi Microsoft attendibili di ignorare questo firewall.

   

7. Selezionare la scheda Connessioni endpoint privato nella parte superiore della pagina

8. Selezionare il pulsante + Endpoint privato nella parte superiore della pagina.

   

9. Nella pagina Informazioni di base seguire questa procedura:

   1. Selezionare la sottoscrizione di Azure in cui creare l'endpoint privato.

   2. Selezionare il gruppo di risorse per la risorsa endpoint privato.

   3. Immettere un nome per l'endpoint privato.

   4. Immettere un nome per l'interfaccia di rete.

   5. Selezionare un'area per l'endpoint privato. L'endpoint privato deve trovarsi nella stessa area della rete virtuale, ma può trovarsi in un'area diversa dallo spazio dei nomi di Inoltro di Azure a cui ci si connette.

   6. Selezionare il pulsante Avanti: Risorsa > nella parte inferiore della pagina.

      

10. Esaminare le impostazioni nella pagina Risorsa e selezionare Avanti: Rete virtuale.

    

11. Nella pagina Rete virtuale selezionare la rete virtuale e la subnet in cui si vuole distribuire l'endpoint privato. Nell'elenco a discesa sono elencate solo le reti virtuali nella sottoscrizione e nella località attualmente selezionate.

    

    È possibile configurare se si vuole allocare dinamicamente un indirizzo IP o allocare staticamente un indirizzo IP all'endpoint privato

    È anche possibile associare un gruppo di sicurezza delle applicazioni nuovo o esistente all'endpoint privato.

12. Selezionare Avanti: DNS per passare alla pagina DNS della procedura guidata. Nella pagina DNS l'impostazione Integrazione con zona DNZ privata è abilitata per impostazione predefinita (scelta consigliata). È possibile disabilitarla.

    

    Per connettersi in privato con l'endpoint privato, è necessario un record DNS. È consigliabile integrare l'endpoint privato con una zona DNS privata. È anche possibile usare i propri server DNS o creare record DNS usando i file host delle macchine virtuali. Per altre informazioni, vedere Configurazione DNS dell'endpoint privato di Azure.

13. Selezionare Il pulsante Avanti: Tag > nella parte inferiore della pagina.

14. Nella pagina Tag, creare i tag (nomi e valori) da associare alla risorsa dell'endpoint privato e alla zona DNS privata, se è stata abilitata questa opzione. Selezionare quindi il pulsante Rivedi e crea nella parte inferiore della pagina.

15. In Rivedi e crea rivedere tutte le impostazioni e selezionare Crea per creare l'endpoint privato.

16. Nella pagina Endpoint privato è possibile visualizzare lo stato della connessione all'endpoint privato. Se si è il proprietario dello spazio dei nomi di inoltro o si dispone dell'accesso di gestione su di esso e si è selezionato Connetti a una risorsa di Azure nella directory per il metodo Connection, la connessione dell'endpoint deve essere approvata automaticamente. Se lo stato della connessione è In sospeso, vedere la sezione Gestire gli endpoint privati con il portale di Azure.

    

17. Tornare alla pagina Rete dello spazio dei nomi e passare alla scheda Connessioni endpoint privato. Verrà visualizzato l'endpoint privato creato.

    

Aggiungere un endpoint privato con PowerShell

L'esempio seguente illustra come usare Azure PowerShell per creare una connessione endpoint privato a uno spazio dei nomi di Inoltro di Azure.

L'endpoint privato e la rete virtuale devono trovarsi nella stessa area. Lo spazio dei nomi di Inoltro di Azure può trovarsi in un'area diversa. E l'endpoint privato usa un indirizzo IP privato nella rete virtuale.

$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VNET LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"

# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation 

# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
                    -ResourceGroupName $rgName `
                    -Location $vnetlocation `
                    -Name $vnetName `
                    -AddressPrefix 10.0.0.0/16

# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
                    -Name $subnetName `
                    -AddressPrefix 10.0.0.0/24 `
                    -PrivateEndpointNetworkPoliciesFlag "Disabled" `
                    -VirtualNetwork $virtualNetwork

# update virtual network
$virtualNetwork | Set-AzVirtualNetwork

# create a relay namespace
$namespaceResource = New-AzResource -Location $namespaceLocation -ResourceName $namespaceName -ResourceGroupName $rgName -Properties @{} -ResourceType "Microsoft.Relay/namespaces" 

# create a private link service connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
                                -Name $peConnectionName `
                                -PrivateLinkServiceId $namespaceResource.ResourceId `
                                -GroupId "namespace"

# get subnet object that you'll use in the next step                                
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName  $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
                                | Where-Object  {$_.Name -eq $subnetName}  
   
# now, create private endpoint   
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName  `
                                -Name $vnetName   `
                                -Location $vnetlocation `
                                -Subnet  $subnet   `
                                -PrivateLinkServiceConnection $privateEndpointConnection

(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties

Gestire gli endpoint privati con il portale di Azure

Quando si crea un endpoint privato, la connessione deve essere approvata. Se la risorsa (spazio dei nomi di inoltro) per cui si sta creando un endpoint privato si trova nella directory, è possibile approvare la richiesta di connessione purché siano stati gestiti i privilegi sullo spazio dei nomi di inoltro. Se ci si sta connettendo a uno spazio dei nomi di Inoltro per cui non si dispone di un accesso di gestione, è necessario attendere che il proprietario della risorsa approvi la richiesta di connessione.

Sono disponibili quattro stati di provisioning:

Approvare, rifiutare o rimuovere una connessione endpoint privato

1. Accedere al portale di Azure.
2. Nella barra di ricerca digitare Inoltro.
3. Selezionare lo spazio dei nomi che si vuole gestire.
4. Selezionare la scheda Rete.
5. Passare a una delle sezioni seguenti in base all'operazione che si vuole eseguire: approvare, rifiutare o rimuovere.

Approvare una connessione endpoint privato

1. Se sono presenti connessioni in sospeso, è visualizzata una connessione elencata con In sospeso nello stato di provisioning.

2. Selezionare l'endpoint privato che si vuole approvare

3. Selezionare il pulsante Approva.

   

4. Nella pagina Approva la connessione immettere un commento facoltativo e selezionare Sì. Se si seleziona No, non accade nulla.

   

5. Si noterà che lo stato della connessione nell'elenco è diventato Approvata.

Rifiutare una connessione endpoint privato

1. Se sono presenti connessioni endpoint private che si desidera rifiutare, se si tratta di una richiesta in sospeso o di una connessione esistente approvata in precedenza, selezionare la connessione all'endpoint e selezionare il pulsante Rifiuta .

   

2. Nella pagina Rifiuta la connessione immettere un commento facoltativo e selezionare Sì. Se si seleziona No, non accade nulla.

   

3. Si noterà che lo stato della connessione nell'elenco è diventato Rifiutata.

Rimuovere una connessione endpoint privato

1. Per rimuovere una connessione endpoint privato, selezionarla nell'elenco e selezionare Rimuovi sulla barra degli strumenti.

   

2. Nella pagina Elimina connessione selezionare Sì per confermare l'eliminazione dell'endpoint privato. Se si seleziona No, non accade nulla.

   

3. Si noterà che lo stato è diventato Disconnessa L'endpoint non verrà quindi visualizzato nell'elenco.

Verificare il funzionamento della connessione di collegamento privato

È necessario verificare che le risorse all'interno della rete virtuale dell'endpoint privato si connettano allo spazio dei nomi dell'inoltro di Azure tramite il relativo indirizzo IP privato.

Per questo test, creare una macchina virtuale seguendo la procedura descritta nell'articolo Creare una macchina virtuale di Windows nel portale di Azure

Nella scheda Rete:

1. Specificare Rete virtuale e Subnet. Selezionare il Rete virtuale in cui è stato distribuito l'endpoint privato.
2. Specificare una risorsa IP pubblico.
3. Per Gruppo di sicurezza di rete della scheda di interfaccia di rete selezionare Nessuno.
4. Per Bilanciamento del carico selezionare No.

Connettersi alla macchina virtuale, aprire la riga di comando ed eseguire il comando seguente:

nslookup <your-relay-namespace-name>.servicebus.windows.net

Verrà visualizzato un risultato simile al seguente.

Non-authoritative answer:
Name:    <namespace-name>.privatelink.servicebus.windows.net
Address:  10.0.0.4 (private IP address associated with the private endpoint)
Aliases:  <namespace-name>.servicebus.windows.net

Limitazioni e considerazioni di progettazione

Considerazioni relative alla progettazione

• per informazioni sui prezzi, vedere Prezzi di Collegamento privato di Azure.

Limiti

• Numero massimo di endpoint privati per spazio dei nomi di Inoltro di Azure: 64.
• Numero massimo di spazi dei nomi di Inoltro di Azure con endpoint privati per sottoscrizione: 64.
• Le regole del gruppo di sicurezza di rete e le route definite dall'utente non si applicano all'endpoint privato. Per altre informazioni, vedere collegamento privato di Azure servizio: Limitazioni

Servizi Microsoft attendibili

Quando si abilita l'impostazione Consenti al servizi Microsoft attendibile di ignorare questa impostazione del firewall, ai servizi seguenti viene concesso l'accesso alle risorse di Inoltro di Azure:

Gli altri servizi attendibili per Inoltro di Azure sono:

• Griglia di eventi di Azure
• Hub IoT di Azure
• Analisi di flusso di Azure
• Monitoraggio di Azure
• Gestione API di Azure
• Azure Synapse
• Esplora dati di Azure
• Azure IoT Central
• Servizi dati del settore sanitario di Azure
• Gemelli digitali di Azure

"trustedServiceAccessEnabled": "True"

Ad esempio, in base al modello di Resource Manager fornito, è possibile modificarlo in modo da includere questa proprietà Set di regole di rete per l'abilitazione di Servizi attendibili:

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "namespaces_name": {
            "defaultValue": "contosorelay0215",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.Relay/namespaces",
            "apiVersion": "2021-11-01",
            "name": "[parameters('namespaces_name')]",
            "location": "East US",
            "sku": {
                "name": "Standard",
                "tier": "Standard"
            },
            "properties": {}
        },
        {
            "type": "Microsoft.Relay/namespaces/authorizationrules",
            "apiVersion": "2021-11-01",
            "name": "[concat(parameters('namespaces_sprelayns0215_name'), '/RootManageSharedAccessKey')]",
            "location": "eastus",
            "dependsOn": [
                "[resourceId('Microsoft.Relay/namespaces', parameters('namespaces_sprelayns0215_name'))]"
            ],
            "properties": {
                "rights": [
                    "Listen",
                    "Manage",
                    "Send"
                ]
            }
        },
        {
            "type": "Microsoft.Relay/namespaces/networkRuleSets",
            "apiVersion": "2021-11-01",
            "name": "[concat(parameters('namespaces_sprelayns0215_name'), '/default')]",
            "location": "East US",
            "dependsOn": [
                "[resourceId('Microsoft.Relay/namespaces', parameters('namespaces_sprelayns0215_name'))]"
            ],
            "properties": {
                "trustedServiceAccessEnabled": "True",
                "publicNetworkAccess": "Enabled",
                "defaultAction": "Deny",
                "ipRules": [
                    {
                        "ipMask": "172.72.157.204",
                        "action": "Allow"
                    },
                    {
                        "ipMask": "10.1.1.1",
                        "action": "Allow"
                    },
                    {
                        "ipMask": "11.0.0.0/24",
                        "action": "Allow"
                    }
                ]
            }
        }
    ]
}

Contenuto correlato

• Altre informazioni su Collegamento privato di Azure
• Altre informazioni sul servizio di inoltro di Azure