Özel Bağlantı kullanarak Azure Digital Twins'e özel erişimi etkinleştirme

Makale
06/01/2023

Azure Digital Twins'i Azure Özel Bağlantı ile birlikte kullanarak Azure Digital Twins örneğiniz için özel uç noktaları etkinleştirerek genel kullanıma açık kalma durumunu ortadan kaldırabilir ve sanal ağınızda bulunan istemcilerin Özel Bağlantı üzerinden örneğe güvenli bir şekilde erişmesine olanak sağlayabilirsiniz. Azure Digital Twins için bu güvenlik stratejisi hakkında daha fazla bilgi için bkz. Azure Digital Twins örneği için özel uç nokta ile Özel Bağlantı.

Bu makalede ele alınan adımlar şunlardır:

Özel Bağlantı açın ve Bir Azure Digital Twins örneği için özel uç nokta yapılandırın.
Azure Digital Twins örneğinden özel uç noktayı görüntüleyin, düzenleyin veya silin.
Azure Digital Twins'in API erişimini yalnızca Özel Bağlantı bağlantılarla kısıtlamak için genel ağ erişim bayraklarını devre dışı bırakın veya etkinleştirin.

Bu makale ayrıca ARM şablonu kullanarak Azure Digital Twins'i Özel Bağlantı ile dağıtma ve yapılandırma sorunlarını giderme bilgilerini içerir.

Önkoşullar

Özel uç nokta ayarlayabilmeniz için önce uç noktanın dağıtılabildiği bir Azure Sanal Ağ (VNet) gerekir. Henüz bir sanal ağınız yoksa, bunu ayarlamak için Azure Sanal Ağ hızlı başlangıçlarından birini izleyebilirsiniz.

Azure Digital Twins'e özel uç noktalar ekleme

Azure portalını veya Azure CLI'yi kullanarak Azure Digital Twins örneğinin özel uç noktasıyla Özel Bağlantı açabilirsiniz.

örneğin ilk kurulumunun bir parçası olarak Özel Bağlantı ayarlamak istiyorsanız Azure portalını kullanmanız gerekir. Aksi takdirde, oluşturulduktan sonra bir örnekte Özel Bağlantı etkinleştirmek istiyorsanız Azure portalını veya Azure CLI'yı kullanabilirsiniz. Bu oluşturma yöntemlerinden herhangi biri, örneğiniz için aynı yapılandırma seçeneklerini ve aynı bitiş sonucunu verir.

Tercih ettiğiniz deneyime yönelik yönergeleri seçmek için aşağıdaki bölümlerdeki sekmeleri kullanın.

İpucu

Azure Digital Twins örneğiniz yerine Özel Bağlantı hizmeti aracılığıyla bir Özel Bağlantı uç noktası da ayarlayabilirsiniz. Bu, aynı yapılandırma seçeneklerini ve aynı bitiş sonucunu da verir.

Özel Bağlantı kaynaklarını ayarlama hakkında daha fazla bilgi için bkz. Azure portalı, Azure CLI , Azure Resource Manager veya PowerShell için Özel Bağlantı belgeleri.

Örnek oluşturma sırasında özel uç nokta ekleme

Bu bölümde, Azure Digital Twins örneğinin ilk kurulumunun bir parçası olarak Özel Bağlantı ile özel bir uç nokta oluşturacaksınız. Bu eylem yalnızca Azure portalında yapılabilir.

Portal
CLI

Bu bölümde, Azure portalında bir Azure Digital Twins örneği ayarlanırken Özel Bağlantı nasıl açıldığı açıklanmaktadır.

Özel Bağlantı seçenekleri, örnek kurulumunun Ağ sekmesinde bulunur.

Azure portalında bir Azure Digital Twins örneği ayarlamaya başlayın. Yönergeler için bkz . Örnek ve kimlik doğrulaması ayarlama.
Örnek kurulumunun Ağ sekmesine ulaştığınızda, Bağlantı yöntemi için Özel uç nokta seçeneğini belirleyerek özel uç noktaları etkinleştirebilirsiniz.

Bunu yaptığınızda, özel uç noktanızın ayrıntılarını yapılandırabileceğiniz Özel uç nokta bağlantıları adlı bir bölüm eklenir. Devam etmek için + Ekle düğmesini seçin.
Açılan Özel uç nokta oluştur sayfasında yeni bir özel uç noktanın ayrıntılarını girin.
1. Abonelik ve Kaynak grubunuz için seçimleri doldurun. Konum'unu, kullanmakta olduğunuz sanal ağ ile aynı konuma ayarlayın. Uç nokta için bir Ad seçin ve Hedef alt kaynakları için API'yi seçin.
2. Ardından, uç noktayı dağıtmak için kullanmak istediğiniz Sanal ağı ve Alt Ağı seçin.
3. Son olarak, Özel DNS bölgesiyle tümleştirilip tümleştirileceğini seçin. Varsayılan Evet'i kullanabilir veya bu seçenekle ilgili yardım için portaldaki bağlantıyı izleyerek özel DNS tümleştirmesi hakkında daha fazla bilgi edinebilirsiniz.
4. Yapılandırma seçeneklerini doldurduktan sonra tamamlamak için Tamam'ı seçin.
Bu işlemi tamamladıktan sonra portal sizi Azure Digital Twins örneği kurulumunun Ağ sekmesine döndürür. Yeni uç noktanızın Özel uç nokta bağlantıları altında görünür olduğunu doğrulayın.
Örnek kurulumunun geri kalanıyla devam etmek için alt gezinti düğmelerini kullanın.

Mevcut örneğe özel uç nokta ekleme

Bu bölümde, zaten var olan bir Azure Digital Twins örneği için özel uç nokta ile Özel Bağlantı etkinleştireceksiniz.

Portal
CLI

İlk olarak, tarayıcıda Azure portalına gidin. Portal arama çubuğunda adını arayarak Azure Digital Twins örneğinizi açın.
Sol taraftaki menüden Ağ'ı seçin.
Özel uç nokta bağlantıları sekmesine geçin.
Özel uç nokta oluştur kurulumunu açmak için + Özel uç nokta'ya tıklayın.
Temel Bilgiler sekmesinde projenizin Abonelik ve Kaynak grubunu ve uç noktanız için bir Ad ve Bölge girin veya seçin. Bölgenin, kullandığınız sanal ağ için bölgeyle aynı olması gerekir.

İşiniz bittiğinde sonraki sekmeye gitmek için sonraki : Kaynak > düğmesini seçin.
Kaynak sekmesinde şu bilgileri girin veya seçin:
- Bağlantı yöntemi: Azure Digital Twins örneğinizi aramak için Dizinimdeki bir Azure kaynağına bağlan'ı seçin.
- Abonelik: Aboneliğinizi girin.
- Kaynak türü: Microsoft.DigitalTwins/digitalTwinsInstances'ı seçin
- Kaynak: Azure Digital Twins örneğinizin adını seçin.
- Hedef alt kaynak: API'yi seçin.
İşiniz bittiğinde sonraki sekmeye gitmek için sonraki : Yapılandırma > düğmesini seçin.
Yapılandırma sekmesinde şu bilgileri girin veya seçin:
- Sanal ağ: Sanal ağınızı seçin.
- Alt ağ: Sanal ağınızdan bir alt ağ seçin.
- Özel DNS bölgesiyle tümleştirme: Özel DNS bölgesiyle tümleştirilip tümleştirileceğini seçin. Varsayılan Evet'i kullanabilir veya bu seçenekle ilgili yardım için portaldaki bağlantıyı izleyerek özel DNS tümleştirmesi hakkında daha fazla bilgi edinebilirsiniz. Evet'i seçerseniz, varsayılan yapılandırma bilgilerini bırakabilirsiniz.
İşiniz bittiğinde, kurulumu tamamlamak için Gözden Geçir + oluştur düğmesini seçebilirsiniz.
Gözden geçir ve oluştur sekmesinde seçimlerinizi gözden geçirin ve Oluştur düğmesini seçin.

Uç nokta dağıtımı tamamlandığında, Azure Digital Twins örneğiniz için özel uç nokta bağlantılarında görünmelidir.

Azure CLI kullanarak özel uç nokta oluşturmak ve bunu bir Azure Digital Twins örneğine bağlamak için az network private-endpoint create komutunu kullanın. Parametresindeki tam kimliğini kullanarak Azure Digital Twins örneğini --private-connection-resource-id tanımlayın.

Aşağıda komutunu kullanarak yalnızca gerekli parametrelerle özel bir uç nokta oluşturan bir örnek verilmiştir.

az network private-endpoint create --connection-name <private-link-service-connection> --name <name-for-private-endpoint> --resource-group <resource-group> --subnet <subnet-ID> --private-connection-resource-id "/subscriptions/<subscription-ID>/resourceGroups/<resource-group>/providers/Microsoft.DigitalTwins/digitalTwinsInstances/<Azure-Digital-Twins-instance-name>"

Gerekli ve isteğe bağlı parametrelerin tam listesi ve daha fazla özel uç nokta oluşturma örneği için az network private-endpoint create başvuru belgelerine bakın.

Özel uç noktaları yönetme

Bu bölümde, oluşturulduktan sonra özel uç noktayı görüntülemeyi, düzenlemeyi ve silmeyi göreceksiniz.

Portal
CLI

Azure Digital Twins örneğiniz için özel bir uç nokta oluşturulduktan sonra, bunu Azure Digital Twins örneğinizin Ağ sekmesinde görüntüleyebilirsiniz. Bu sayfa, örnekle ilişkili tüm özel uç nokta bağlantılarını gösterir.

Bilgilerini ayrıntılı olarak görüntülemek, yapılandırma ayarlarında değişiklik yapmak veya bağlantıyı silmek için uç noktayı seçin.

İpucu

Uç nokta, Azure portalındaki Özel Bağlantı Merkezi'nden de görüntülenebilir.

Genel ağ erişim bayraklarını devre dışı bırakma/etkinleştirme

Azure Digital Twins örneğinizi tüm genel bağlantıları reddedecek ve ağ güvenliğini artırmak için yalnızca özel erişim uç noktaları üzerinden bağlantılara izin verecek şekilde yapılandırabilirsiniz. Bu eylem genel ağ erişim bayrağıyla gerçekleştirilir.

Bu ilke, API erişimini yalnızca Özel Bağlantı bağlantılarla kısıtlamanıza olanak tanır. Genel ağ erişim bayrağı olarak ayarlandığında disabled, genel buluttan Azure Digital Twins örneği veri düzlemine yapılan tüm REST API çağrıları döndürür 403, Unauthorized. Aksi takdirde, ilke olarak ayarlandığında disabled ve özel bir uç nokta üzerinden istek yapıldığında API çağrısı başarılı olur.

Azure portalı, Azure CLI veya ARMClient komut aracını kullanarak ağ bayrağının değerini güncelleştirebilirsiniz.

Azure portalında genel ağ erişimini devre dışı bırakmak veya etkinleştirmek için portalı açın ve Azure Digital Twins örneğinize gidin.

Sol taraftaki menüden Ağ'ı seçin.
Genel erişim sekmesinde Genel ağ erişimine izin ver'i Devre Dışı veya Tüm ağlar olarak ayarlayın.

Kaydet'i seçin.

Azure CLI'da, komutuna bir --public-network-access parametre az dt create ekleyerek genel ağ erişimini devre dışı bırakabilir veya etkinleştirebilirsiniz. Bu komut yeni bir örnek oluşturmak için de kullanılabilir, ancak varolan bir örneğin özelliklerini düzenlemek için zaten var olan bir örneğin adını sağlayarak kullanabilirsiniz. (Bu komut hakkında daha fazla bilgi için başvuru belgelerine veya Azure Digital Twins örneği ayarlamaya yönelik genel yönergelere bakın).

Azure Digital Twins örneğinde genel ağ erişimini devre dışı bırakmak için şu parametreyi --public-network-access kullanın:

az dt create --dt-name <name-of-existing-instance> --resource-group <resource-group> --public-network-access Disabled

Şu anda devre dışı olan bir örnekte genel ağ erişimini etkinleştirmek için aşağıdaki benzer komutu kullanın:

az dt create --dt-name <name-of-existing-instance> --resource-group <resource-group> --public-network-access Enabled

ARMClient komut aracıyla, aşağıdaki komutlar kullanılarak genel ağ erişimi etkinleştirilir veya devre dışı bırakılır.

Genel ağ erişimini devre dışı bırakmak için:

armclient login 

armclient PATCH /subscriptions/<your-Azure-subscription-ID>/resourceGroups/<your-resource-group>/providers/Microsoft.DigitalTwins/digitalTwinsInstances/<your-Azure-Digital-Twins-instance>?api-version=2020-12-01 "{ 'properties': { 'publicNetworkAccess': 'disabled' } }"

Genel ağ erişimini etkinleştirmek için:

armclient login 

armclient PATCH /subscriptions/<your-Azure-subscription-ID>/resourceGroups/<your-resource-group>/providers/Microsoft.DigitalTwins/digitalTwinsInstances/<your-Azure-Digital-Twins-instance>?api-version=2020-12-01 "{ 'properties': { 'publicNetworkAccess': 'enabled' } }"

ARM şablonlarıyla dağıtma

Arm şablonu kullanarak Azure Digital Twins ile Özel Bağlantı de ayarlayabilirsiniz.

Azure işlevinin Özel Bağlantı uç noktası üzerinden Azure Digital Twins'e bağlanmasına olanak tanıyan örnek bir şablon için bkz. Azure işlevi ve Özel Bağlantı (ARM şablonu) ile Azure Digital Twins.

Bu şablon bir Azure Digital Twins örneği, bir sanal ağ, sanal ağa bağlı bir Azure işlevi ve Azure Digital Twins örneğini özel bir uç nokta üzerinden Azure işlevi için erişilebilir hale getirmek için bir Özel Bağlantı bağlantısı oluşturur.

Sınırlamalar ve sorun giderme

Azure Digital Twins ile Özel Bağlantı kullanmanın bir sınırlaması, kiracılar arası senaryoların desteklenmemesidir.

Sorun giderme için, ortaya çıkabilecek bazı yaygın sorunlar şunlardır:

Sorun: Azure Digital Twins API'lerine erişmeye çalışırken yanıt gövdesinde aşağıdaki hatayı içeren bir HTTP hata kodu 403 görürsünüz:
```
{
    "statusCode": 403,
    "message": "Public network access disabled by policy."
}
```
Çözüm: Bu hata, Azure Digital Twins örneği için devre dışı bırakıldığında publicNetworkAccess ve API isteklerinin Özel Bağlantı gelmesi beklendiğinde, ancak çağrı genel ağ üzerinden (büyük olasılıkla sanal ağ için yapılandırılmış bir yük dengeleyici üzerinden) yönlendirildiğinde oluşur. API'ye uç nokta ana bilgisayar adı üzerinden erişmeye çalışırken API istemcinizin özel uç nokta için özel IP'yi çözümlediğinden emin olun.

Bir alt ağdaki özel uç noktanın özel IP'sine ana bilgisayar adı çözümlemesini kolaylaştırmak için, özel bir DNS bölgesi yapılandırabilirsiniz. Özel DNS bölgesinin sanal ağa doğru şekilde bağlandığını ve gibi privatelink.digitaltwins.azure.netdoğru bölge adını kullandığını doğrulayın.
Sorun: Azure Digital Twins'e özel bir uç nokta üzerinden erişmeye çalışırken bağlantı zaman aşımına uğradı.

Çözüm: İstemcinin özel uç nokta ve alt ağıyla iletişim kurmasını engelleyen bir ağ güvenlik grubu kuralı olmadığını doğrulayın. İstemcinin kaynak IP adresi/alt ağı ile özel uç nokta hedef IP adresi/alt ağı arasında 443 numaralı TCP bağlantı noktası üzerinden iletişim kurulmasına izin verilmelidir.

Daha fazla Özel Bağlantı sorun giderme önerileri için bkz. Azure Özel Uç Nokta bağlantı sorunlarını giderme.

Sonraki adımlar

ARM şablonu kullanarak Özel Bağlantı ile korumalı bir ortamı hızla ayarlayın: Azure işlevine sahip Azure Digital Twins ve Özel Bağlantı.

Veya Azure için Özel Bağlantı hakkında daha fazla bilgi edinin: Azure Özel Bağlantı hizmeti nedir?

Aracılığıyla paylaş