虛擬網路服務標籤

服務標籤代表來自指定 Azure 服務的一組 IP 位址首碼。 Microsoft 會管理服務標籤包含的位址前置詞，並隨著位址變更自動更新服務標籤，而盡可能簡化網路安全性規則頻繁的更新。

您可以使用服務標籤來定義網路安全性群組、Azure 防火牆與使用者定義路由的網路控制。 建立安全性規則和路由時，請以服務標籤取代特定的 IP 位址。 在規則的適當 [來源] 或安全性規則的 [目的地] 欄位中指定服務標籤名稱 (例如 ApiManagement)，即可允許或拒絕對應服務的流量。 在路由位址首碼指定服務標籤名稱，您可以將流量從服務標籤封裝的首碼，傳送至所需的下一個躍點型別。

您可以使用服務標籤達成網路隔離，以及在存取具有公用端點的 Azure 服務時，防止從一般網際網路存取您的 Azure 資源。 建立輸入/輸出網路安全性群組規則，可拒絕進出於網際網路的流量，並允許 AzureCloud 或特定 Azure 服務的其他可用服務標籤的輸入/輸出流量。

可用的服務標籤

下表包含可在網路安全性群組規則中使用的所有服務標籤。

資料行表示標籤是否：

• 適用於涵蓋輸入或輸出流量的規則。
• 支援區域範圍。
• 在 Azure 防火牆規則中，只能作為輸入或輸出流量的目的地規則使用。

根據預設，服務標籤會反映整個雲端的範圍。 某些服務標籤也會將對應的 IP 範圍限定為指定的區域，以提供更精細的控制。 例如，服務標籤 Storage 代表整個雲端的 Azure 儲存體，而 Storage.WestUS 則會將範圍縮小為僅限來自美國西部區域的儲存體 IP 位址範圍。 下表列出各個服務標籤是否支援這類區域範圍，為各標籤所列出的是建議方向。 例如，您可以使用 AzureCloud 標籤來允許輸入流量。 大部分情況下並不建議允許來自所有 Azure IP 的流量，因為其他 Azure 客戶所使用的 IP 會包含在服務標籤中。

傳統部署模型中支援的標籤

在傳統部署模型中 (Azure Resource Manager 之前)，可支援上表所列出標籤的小型子集。 傳統部署模型中標籤的拼寫不同，如下表所示：

使用者定義路由 (UDR) 不支援的標籤

以下是目前不支援用於使用者定義路由 (UDR) 的標籤清單。

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• 網際網路

內部部署服務標籤

您可以取得目前的服務標籤和範圍資訊，並將其納入為內部部署防火牆設定的一部分。 這項資訊是與每個服務標籤相對應之 IP 範圍的目前時間點清單。 您可以透過程式設計方式或 JSON 檔案下載來取得資訊，如以下幾節所說明。

使用服務標籤探索 API

您可以透過程式設計方式，將目前的服務標籤清單連同 IP 位址範圍詳細資料一起擷取：

• REST

• Azure PowerShell

• Azure CLI

例如，若要擷取儲存體服務標籤的所有前置詞，您可以使用下列 PowerShell Cmdlet：

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

使用可下載的 JSON 檔案探索服務標籤

您可以下載 JSON 檔案，其中包含目前的服務標籤清單以及 IP 位址範圍詳細資料。 這些清單會每週更新並發佈。 每個雲端的位置如下：

• Azure 公用

• Azure US Gov

• 由 21Vianet 營運的 Microsoft Azure

• Azure Germany

這些檔案中的 IP 位址範圍是以 CIDR 標記法表示。

下列 AzureCloud 標籤不會根據一般結構描述來設定區域名稱格式：

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

下一步

• 了解如何建立網路安全性群組。