標準虛擬網路插入方法

適用於：Azure Data Factory Azure Synapse Analytics

在 Azure Data Factory (ADF) 或 Synapse Pipelines 中使用 SQL Server Integration Services (SSIS) 時，有兩種方法可讓您將 Azure-SSIS 整合執行階段 (IR) 加入虛擬網路：標準和快速。 如果您使用標準方法，請設定虛擬網路以符合下列需求：

• 請確定 Microsoft.Batch 是 Azure 訂閱中已註冊的資源提供者，其虛擬網路可供您的 Azure-SSIS IR 加入。 如需詳細指示，請參閱將 Azure Batch 註冊為資源提供者一節。

• 請務必將必要的角色型存取控制 (RBAC) 權限授與建立 Azure-SSIS IR 的使用者，以便加入虛擬網路/子網路。 如需詳細資訊，請參閱下方的選取虛擬網路權限一節。

• 在虛擬網路中選取適當的子網路，以供 Azure-SSIS IR 加入。 如需詳細資訊，請參閱下方的選取子網路一節。

取決於特定案例，可選擇性地設定下列各項：

• 如果想要針對 Azure-SSIS IR 的輸出流量自備靜態公用 IP (BYOIP) 位址，請參閱下方的設定靜態公用 IP 位址一節。

• 如果想要在虛擬網路中使用自己的網域名稱系統 (DNS) 伺服器，請參閱下方的設定自訂 DNS 伺服器一節。

• 如果想要使用網路安全性群組 (NSG) 來限制子網路上的輸入/輸出流量，請參閱下方的設定 NSG 一節。

• 如果想要透過使用者定義的路由 (UDR) 來稽核/檢查輸出流量，請參閱下方的設定 UDR 一節。

• 請確定虛擬網路資源群組 (若自備公用 IP 位址則為公用 IP 位址的資源群組) 可建立和刪除特定的 Azure 網路資源。 如需詳細資訊，請參閱設定相關的資源群組。

• 如果您自訂 Azure-SSIS IR (如 Azure-SSIS IR 自訂設定一文所述)，管理其節點的內部流程將會取用預先定義的 172.16.0.0 到 172.31.255.255 範圍內的私人 IP 位址。 因此，請確定您虛擬和/或內部部署網路的私人 IP 位址範圍不會與此範圍衝突。

此圖表顯示 Azure-SSIS IR 所需的連線：

選取虛擬網路權限

若要啟用標準虛擬網路插入，請務必將必要的 RBAC 權限授與建立 Azure-SSIS IR 的使用者，以便加入虛擬網路/子網路。

• 如果要將 Azure-SSIS IR 加入 Azure Resource Manager 虛擬網路，則有兩個選項：

  • 使用內建的「網路參與者」角色。 此角色隨附 Microsoft.Network/* 權限，它的權限範圍大於必要的範圍。

  • 建立包含只有必要 Microsoft.Network/virtualNetworks/*/join/action 權限的自訂角色。 如果您也想要針對 Azure-SSIS IR 自備靜態公用 IP，並同時將其加入 Azure Resource Manager 虛擬網路，也請在角色中包含 Microsoft.Network/publicIPAddresses/*/join/action 權限。

  • 如需詳細指示，請參閱授與虛擬網路權限一節。

• 如果要將 Azure-SSIS IR 加入傳統虛擬網路中，建議使用內建的 [傳統虛擬機器參與者] 角色。 否則必須建立自訂角色，以納入可供加入虛擬網路的權限。 您也需要將 MicrosoftAzureBatch 指派給該內建/自訂角色。

選取子網路

若要啟用標準虛擬網路插入，您必須為 Azure-SSIS IR 選取適當的子網路以加入：

• 請勿選取 GatewaySubnet，因為此為虛擬網路閘道專用。

• 請確定選取的子網路具備可用的 IP 位址，且至少是 Azure-SSIS IR 節點數的兩倍。 這些必要措施是為了避免在推出 Azure-SSIS IR 修補檔/升級時發生中斷情形。 Azure 也會在每個子網路中保留一些無法使用的 IP 位址。 第一個和最後一個 IP 位址會保留起來，以達到通訊協定的合規性；另外三個 IP 位址則保留給 Azure 服務。 如需詳細資訊，請參閱子網路 IP 位址限制一節。

• 請勿使用由其他 Azure 服務 (例如 Azure SQL 受控執行個體、App Service 等) 所獨佔的子網路。

設定靜態公用 IP 位址

如果想要針對 Azure-SSIS IR 的輸出流量使用自己的靜態公用 IP 位址並將其加入至虛擬網路，以求在防火牆上允許這些 IP 位址，請務必遵循以下要求：

• 應提供兩個未使用，且未與其他 Azure 資源相關聯的 IP 位址。 當我們定期升級您的 Azure-SSIS IR 時，就會使用另一個 IP 位址。 請注意，使用中的各個 Azure-SSIS PR 無法共用一個公用 IP 位址。

• 兩者都應使用標準類型的靜態 IP 位址。 如需詳細資訊，請參閱公用 IP 位址的 SKU 一節。

• 兩者都應有 DNS 名稱。 如果您在建立時未提供 DNS 名稱，可以在 Azure 入口網站上進行此操作。

  

• 這些和虛擬網路都應屬於相同的訂閱和區域。

設定自訂 DNS 伺服器

如果想要在虛擬網路中使用自己的 DNS 伺服器來解析私人主機名稱，請確保該伺服器也可以解析全域 Azure 主機名稱 (例如，您名為 <your storage account>.blob.core.windows 的 Azure Blob 儲存體)。

建議您設定自己的 DNS 伺服器，將未解析的 DNS 要求轉接至 Azure 遞迴解析程式的 IP 位址 (168.63.129.16)。

如需詳細資訊，請參閱 DNS 伺服器名稱解析一節。

設定 NSG

如果您想要在 Azure-SSIS IR 所加入的子網路上使用 NSG，請允許下列輸入和輸出流量：

設定 UDR

如果您想要稽核/檢查來自 Azure-SSIS IR 的輸出流量，可以使用使用者定義的路由 (UDR)，透過 Azure ExpressRoute 強制通道功能將其重新導向至內部部署防火牆設備後，再將邊界閘道通訊協定 (BGP) 路由 0.0.0.0/0 公告至虛擬網路、至設為防火牆的網路虛擬裝置 (NVA)，或是至 Azure 防火牆服務。

請務必完成下列事項以利順利進行：

• Azure Batch 管理服務和 Azure-SSIS IR 之間的流量不應透過路由傳送至防火牆設備/服務。

• 防火牆設備/服務應該允許 Azure-SSIS IR 所需的輸出流量。

如果 Azure Batch 管理服務和 Azure-SSIS IR 之間的流量透過路由傳送至防火牆設備/服務，就會因非對稱路由而中斷。 您必須為此流量定義 UDR，使其出入時皆可使用相同的路由。 您可以將 UDR 設定為透過路由傳送 Azure Batch 管理服務和 Azure-SSIS IR 之間的流量，並將下一個躍點類型設定為 [網際網路]。

例如，如果您的 Azure-SSIS IR 位於 [英國南部]，而且您想使用 Azure 防火牆檢查輸出流量，您可以先從服務標籤 IP 範圍下載連結或服務標籤探索 API 取得 BatchNodeManagement.UKSouth 服務標籤的 IP 範圍。 接下來對於下一個躍點類型為 [網際網路] 的相關 IP 範圍路由，以及下一個躍點類型為 [虛擬設備]的 0.0.0.0/0 路由，您可以設定下列 UDR。

您可以執行下列 PowerShell 指令碼，為 Azure Batch 管理服務新增 UDR：

$Location = "[location of your Azure-SSIS IR]"
$RouteTableResourceGroupName = "[name of Azure resource group that contains your route table]"
$RouteTableResourceName = "[resource name of your route table]"
$RouteTable = Get-AzRouteTable -ResourceGroupName $RouteTableResourceGroupName -Name $RouteTableResourceName
$ServiceTags = Get-AzNetworkServiceTag -Location $Location
$BatchServiceTagName = "BatchNodeManagement." + $Location
$UdrRulePrefixForBatch = $BatchServiceTagName
if ($ServiceTags -ne $null)
{
    $BatchIPRanges = $ServiceTags.Values | Where-Object { $_.Name -ieq $BatchServiceTagName }
    if ($BatchIPRanges -ne $null)
    {
        Write-Host "Start adding UDRs to your route table..."
        for ($i = 0; $i -lt $BatchIPRanges.Properties.AddressPrefixes.Count; $i++)
        {
            $UdrRuleName = "$($UdrRulePrefixForBatch)_$($i)"
            Add-AzRouteConfig -Name $UdrRuleName `
                -AddressPrefix $BatchIPRanges.Properties.AddressPrefixes[$i] `
                -NextHopType "Internet" `
                -RouteTable $RouteTable `
                | Out-Null
            Write-Host "Add $UdrRuleName to your route table..."
        }
        Set-AzRouteTable -RouteTable $RouteTable
    }
}
else
{
    Write-Host "Failed to fetch Azure service tag, please confirm that your location is valid."
}

依據上述設定 NSG 一節中的指示，您必須在防火牆設備/服務上實作類似規則，以允許來自 Azure-SSIS IR 的輸出流量：

• 如果使用 Azure 防火牆：

  • 必須開放連接埠 443 以供輸出 TCP 流量使用，並將 AzureCloud 服務標籤做為目的地。

  • 如果使用 Azure SQL Database 伺服器/受控執行個體來裝載 SSISDB，請務必開放連接埠 1433、11000-11999 以供輸出 TCP 流量使用，並將 Sql/VirtualNetwork 服務標籤做為目的地。

  • 如果使用 Azure 儲存體 Blob 容器來儲存標準自訂設定指令碼/檔案，請務必開放連接埠 443 以供輸出 TCP 流量使用，並將 Storage/VirtualNetwork 服務標籤做為目的地。

  • 如果需要存取 Azure 檔案，請務必開放連接埠 445 以供輸出 TCP 流量使用，並將 Storage/VirtualNetwork 服務標籤做為目的地。

• 如果使用其他防火牆設備/服務：

  • 必須開放連接埠 443 以供輸出 TCP 流量使用，並將 0.0.0.0/0 或下列 Azure 環境專用的 FQDN 做為目的地。

    Azure 環境	FQDN
    Azure 公用	Azure Data Factory (管理) *.frontend.clouddatahub.net Azure 儲存體 (管理) *.blob.core.windows.net *.table.core.windows.net Azure Container Registry (自訂設定) *.azurecr.io 事件中樞 (記錄) *.servicebus.windows.net Microsoft 記錄服務 (內部使用) gcs.prod.monitoring.core.windows.net prod.warmpath.msftcloudes.com azurewatsonanalysis-prod.core.windows.net
    Azure Government	Azure Data Factory (管理) *.frontend.datamovement.azure.us Azure 儲存體 (管理) *.blob.core.usgovcloudapi.net *.table.core.usgovcloudapi.net Azure Container Registry (自訂設定) *.azurecr.us 事件中樞 (記錄) *.servicebus.usgovcloudapi.net Microsoft 記錄服務 (內部使用) fairfax.warmpath.usgovcloudapi.net azurewatsonanalysis.usgovcloudapp.net
    由 21Vianet 營運的 Microsoft Azure	Azure Data Factory (管理) *.frontend.datamovement.azure.cn Azure 儲存體 (管理) *.blob.core.chinacloudapi.cn *.table.core.chinacloudapi.cn Azure Container Registry (自訂設定) *.azurecr.cn 事件中樞 (記錄) *.servicebus.chinacloudapi.cn Microsoft 記錄服務 (內部使用) mooncake.warmpath.chinacloudapi.cn azurewatsonanalysis.chinacloudapp.cn

  • 如果使用 Azure SQL Database 伺服器/受控執行個體來裝載 SSISDB，請務必開放連接埠 1433、11000-11999 以供輸出 TCP 流量使用，並將 0.0.0.0/0 或您的 Azure SQL Database 伺服器/受控執行個體做為目的地。

  • 如果使用 Azure 儲存體 Blob 容器來儲存標準自訂設定指令碼/檔案，請務必開放連接埠 443 以供輸出 TCP 流量使用，並將 0.0.0.0/0 或您的 Azure Blob 儲存體 FQDN 做為目的地。

  • 如果需要存取 Azure 檔案，請務必開放連接埠 445 以供輸出 TCP 流量使用，並將 0.0.0.0/0 或您的 Azure 檔案 FQDN 做為目的地。

• 如果您在子網路中分別啟用 Microsoft.Storage/Microsoft.ContainerRegistry/Microsoft.EventHub/Microsoft.Sql 資源，藉此設定 Azure 儲存體/Container Registry/事件中樞/SQL 的虛擬網路服務端點，那麼位於相同/配對區域中的 Azure-SSIS IR 和這些服務之間的所有流量都會透過路由傳送至 Azure 骨幹網路，而非您的防火牆設備/服務。

• 您應該開放連接埠 80 以供輸出 TCP 流量使用，並以下列憑證撤銷清單 (CRL) 下載網站做為目的地：

  • crl.microsoft.com:80
  • mscrl.microsoft.com:80
  • crl3.digicert.com:80
  • crl4.digicert.com:80
  • ocsp.digicert.com:80
  • cacerts.digicert.com:80

  如果您使用具不同 CRL 的憑證，應當也新增其下載網站做為目的地。 如需詳細資訊，請參閱憑證撤銷清單一文。

  如果封鎖此流量，可能會在啟動 Azure-SSIS IR 時發生效能降低的情況，並無法在使用憑證時檢查 CRL，就安全性角度不建議這樣做。

如果不需要稽核/檢查來自 Azure-SSIS IR 的輸出流量，可以使用 UDR 來強制下一個躍點類型為 [網際網路] 的所有流量：

• 使用 Azure ExpressRoute 時，可以為子網路中的 0.0.0.0/0 路由設定 UDR，並將下一個躍點類型設為 [網際網路]。

• 使用 NVA 時，可以為子網路中的 0.0.0.0/0 路由修改現有 UDR，並將下一個躍點類型從 [虛擬裝置] 切換為 [網際網路]。

設定相關的資源群組

若要啟用標準虛擬網路插入，您的 Azure-SSIS IR 就必須在與虛擬網路相同的資源群組中建立特定網路資源。 這些資源包括：

• Azure 負載平衡器，名稱為 <Guid>-azurebatch-cloudserviceloadbalancer。
• Azure 公用 IP 位址，名稱為 <Guid>-azurebatch-cloudservicepublicip。
• NSG，名稱為 <Guid>-azurebatch-cloudservicenetworksecuritygroup。

當 Azure SSIS IR 啟動時，就會建立這些資源。 當 Azure-SSIS IR 停止時，就會予以刪除。 如果您針對 Azure-SSIS IR 自備靜態公用 IP 位址，當您的 Azure-SSIS IR 停止時，就不會予以刪除。 為了避免 Azure-SSIS IR 無法停止，請勿將這些資源重新用於其他用途。

請確認在虛擬網路/靜態公用 IP 位址所屬的資源群組/訂閱上，沒有任何鎖定的資源。 如果您設定唯讀/刪除鎖定，則啟動和停止 Azure-SSIS IR 將會失敗，或停止回應。

請確定您的 Azure 原則指派不會阻止系統在虛擬網路/靜態公用 IP 位址所屬的資源群組/訂閱中建立下列資源：

• Microsoft.Network/LoadBalancers
• Microsoft.Network/NetworkSecurityGroups
• Microsoft.Network/NetworkSecurityGroups

請確定訂閱的資源配額足夠這些資源使用。 具體來說，您需要為虛擬網路中建立的每個 Azure-SSIS IR 保留兩倍的資源數，因為我們在定期升級您的 Azure-SSIS IR 時會用到這些額外資源。

常見問題集

• 對於輸入連線，我該如何保護在 Azure-SSIS IR 上公開的公用 IP 位址？ 是否可以移除公用 IP 位址？

  現在，當您的 Azure-SSIS IR 加入虛擬網路時，系統會自動建立公用 IP 位址。 我們確實有 NIC 層級的 NSG，可僅允許 Azure Batch 管理服務輸入連線至您的 Azure-SSIS IR。 您也可以指定用於輸入保護的子網路層級 NSG。

  如果您不想公開任何公用 IP 位址，請考慮將自我裝載 IR 設定為 Azure-SSIS IR 的 Proxy，而非將 Azure-SSIS IR 加入虛擬網路。

• 我可以將 Azure-SSIS IR 的公用 IP 位址加入至資料來源的防火牆允許清單嗎？

  您現在可以針對 Azure-SSIS IR 自備靜態公用 IP 位址。 在此情況下，您可以將 IP 位址加入至資料來源的防火牆允許清單。 或者也可以考慮下列其他選項，並根據自身情況來保護 Azure-SSIS IR 的資料存取：

  • 如果您的資料來源位於內部部署，將虛擬網路連線至內部部署網路並將 Azure-SSIS IR 加入虛擬網路子網路之後，您就可以將該子網路的私人 IP 位址範圍加入至資料來源的防火牆允許清單。

  • 如果您的資料來源是支援虛擬網路服務端點的 Azure 服務，您可以在虛擬網路子網路中設定虛擬網路服務端點，並將 Azure-SSIS IR 加入該子網路。 接著，您可以將具有該子網路的虛擬網路規則新增至資料來源的防火牆。

  • 如果您的資料來源是非 Azure 雲端服務，可使用 UDR 透過 NVA/Azure 防火牆將輸出流量從 Azure-SSIS IR 路由至其靜態公用 IP 位址。 接著可以將 NVA/Azure 防火牆的靜態公用 IP 位址加入資料來源的防火牆允許清單。

  • 如果上述選項都不符合您的需求，請考慮將自我裝載 IR 設定為 Azure-SSIS IR 的 Proxy。 然後可以針對裝載自我裝載 IR 的機器，將其靜態公用 IP 位址加入資料來源的防火牆允許清單。

• 如果我想自備 Azure-SSIS IR，為什麼需要提供兩個靜態公用位址？

  Azure-SSIS IR 會定期自動更新。 升級期間會建立新節點並刪除舊節點。 不過為了避免停機，在新節點準備就緒之前，系統不會刪除舊節點。 因此我們無法立即釋放舊節點所使用的第一個靜態公用 IP 位址，而且需要使用第二個靜態公用 IP 位址來建立新節點。

• 我已經針對 Azure-SSIS IR 自備靜態公用 IP 位址，但為什麼仍然無法存取我的資料來源？

  請確認兩個靜態公用 IP 位址都已加入資料來源的防火牆允許清單。 每次升級您的 Azure-SSIS IR 時，其靜態公用 IP 位址都會在您自備的兩個位址之間切換。 如果僅將其中一個位址加入允許清單，Azure-SSIS IR 的資料存取就會在升級後中斷。

  如果您的資料來源為 Azure 服務，請檢查您是否已使用虛擬網路服務端點進行設定。 若已使用，從 Azure-SSIS IR 至資料來源的流量會切換成使用 Azure 服務所管理的私人 IP 位址，而將您自己的靜態公用 IP 位址加入資料來源的防火牆允許清單則不會生效。

相關內容

• 透過 ADF UI 將 Azure-SSIS IR 加入虛擬網路
• 透過 Azure PowerShell 將 Azure-SSIS IR 加入虛擬網路

如需 Azure-SSIS IR 的詳細資訊，請參閱下列文章：

• Azure-SSIS IR。 本文提供關於 IR (包括 Azure-SSIS IR) 的一般概念資訊。
• 教學課程：將 SSIS 套件部署至 Azure。 此教學課程將逐步說明如何建立 Azure-SSIS IR。 其使用 Azure SQL Database 伺服器來裝載 SSISDB。
• 建立 Azure-SSIS IR。 此文章為教學課程的延伸。 其提供指示，說明如何使用以虛擬網路服務端點/IP 防火牆規則/私人端點所設定的 Azure SQL Database 伺服器，或將虛擬網路加入主機 SSISDB 的 Azure SQL 受控執行個體。 其說明如何將 Azure-SSIS IR 加入虛擬網路。
• 監視 Azure-SSIS IR。 本文說明如何擷取和了解有關 Azure-SSIS IR 的資訊。
• 管理 Azure-SSIS IR。 本文說明如何停止、開始或刪除 Azure-SSIS IR。 它還會顯示如何透過新增更多節點來擴增 Azure-SSIS IR。