Integrace Služby Azure Relay se službou Azure Private Link

Článek
10/24/2023

Služba Azure Private Link umožňuje přístup ke službám Azure (například Azure Relay, Azure Service Bus, Azure Event Hubs, Azure Storage a Azure Cosmos DB) a službám hostovaným zákazníkům nebo partnerům Azure přes privátní koncový bod ve vaší virtuální síti. Další informace najdete v tématu Co je Azure Private Link?

Privátní koncový bod je síťové rozhraní, které umožňuje úlohám spuštěným ve virtuální síti připojit se soukromě a bezpečně ke službě, která má prostředek privátního propojení (například obor názvů služby Relay). Privátní koncový bod využívá privátní IP adresu z vaší virtuální sítě, čímž je služba efektivně začleněna do vaší virtuální sítě. Veškerý provoz do služby je možné směrovat přes privátní koncový bod, takže nejsou potřeba žádné brány, zařízení NAT, ExpressRoute, připojení VPN nebo veřejné IP adresy. Provoz mezi vaší virtuální sítí a službou prochází přes páteřní síť Microsoftu a eliminuje rizika vystavení na veřejném internetu. Úroveň členitosti řízení přístupu můžete poskytnout tím, že povolíte připojení ke konkrétním oborům názvů Služby Azure Relay.

Poznámka:

Pokud používáte naslouchací proces přenosu přes privátní propojení, otevřete porty 9400–9599 pro odchozí komunikaci spolu se standardními přenosovými porty. Všimněte si, že tento krok je potřeba provést pouze pro naslouchací proces přenosu.

Přidání privátního koncového bodu pomocí webu Azure Portal

Požadavky

Pokud chcete integrovat obor názvů Azure Relay se službou Azure Private Link, potřebujete následující entity nebo oprávnění:

Obor názvů služby Azure Relay.
Virtuální síť Azure.
Podsíť ve virtuální síti.
Oprávnění vlastníka nebo přispěvatele ve virtuální síti

Privátní koncový bod a virtuální síť musí být ve stejné oblasti. Když vyberete oblast privátního koncového bodu pomocí portálu, automaticky vyfiltruje jenom virtuální sítě, které jsou v dané oblasti. Obor názvů může být v jiné oblasti.

Váš privátní koncový bod používá privátní IP adresu ve vaší virtuální síti.

Konfigurace privátního přístupu pro obor názvů služby Relay

Následující postup obsahuje podrobné pokyny pro zakázání veřejného přístupu k oboru názvů služby Relay a následné přidání privátního koncového bodu do oboru názvů.

Přihlaste se k portálu Azure.
Do vyhledávacího panelu zadejte relays.
V seznamu vyberte obor názvů, do kterého chcete přidat privátní koncový bod.
V nabídce vlevo vyberte kartu Sítě v části Nastavení.
Na stránce Sítě vyberte pro přístup k veřejné síti možnost Zakázáno, pokud chcete, aby byl obor názvů přístupný pouze prostřednictvím privátních koncových bodů.
Chcete-li povolit důvěryhodné služby Microsoft obejít tuto bránu firewall, vyberte možnost Ano, pokud chcete povolit důvěryhodné služby Microsoft obejít tuto bránu firewall.
V horní části stránky vyberte kartu Připojení privátního koncového bodu.
V horní části stránky vyberte tlačítko + privátní koncový bod.
Na stránce Základy postupujte takto:
1. Vyberte předplatné Azure, ve kterém chcete vytvořit privátní koncový bod.
2. Vyberte skupinu prostředků pro prostředek privátního koncového bodu.
3. Zadejte název privátního koncového bodu.
4. Zadejte název síťového rozhraní.
5. Vyberte oblast privátního koncového bodu. Váš privátní koncový bod musí být ve stejné oblasti jako vaše virtuální síť, ale může být v jiné oblasti než obor názvů Služby Azure Relay, ke kterému se připojujete.
6. Výběr tlačítka Další: Prostředek > v dolní části stránky
Zkontrolujte nastavení na stránce Prostředek a vyberte Další: Virtuální síť.
Na stránce Virtuální síť vyberte virtuální síť a podsíť, do které chcete nasadit privátní koncový bod. V rozevíracím seznamu jsou uvedené jenom virtuální sítě v aktuálně vybraném předplatném a umístění.

Můžete nakonfigurovat, jestli chcete dynamicky přidělit IP adresu nebo staticky přidělit IP adresu privátnímu koncovému bodu.

K privátnímu koncovému bodu můžete také přidružit novou nebo existující skupinu zabezpečení aplikace.
Vyberte Další: DNS přejděte na stránku DNS průvodce. Na stránce DNS je ve výchozím nastavení povolená integrace s nastavením privátní zóny DNZ (doporučeno). Můžete ji zakázat.

Pokud se chcete privátně připojit ke svému privátnímu koncovému bodu, potřebujete záznam DNS. Doporučujeme integrovat privátní koncový bod s privátní zónou DNS. Můžete také využít vlastní servery DNS nebo vytvořit záznamy DNS pomocí souborů hostitelů na virtuálních počítačích. Další informace najdete v tématu Konfigurace DNS privátního koncového bodu Azure.
Výběr tlačítka Další: Značky > v dolní části stránky
Na stránce Značky vytvořte všechny značky (názvy a hodnoty), které chcete přidružit k privátnímu koncovému bodu a zóně privátního DNS (pokud jste tuto možnost povolili). Pak v dolní části stránky vyberte Tlačítko Zkontrolovat a vytvořit .
V části Zkontrolovat a vytvořit zkontrolujte všechna nastavení a výběrem možnosti Vytvořit vytvořte privátní koncový bod.
Na stránce Privátní koncový bod uvidíte stav připojení privátního koncového bodu. Pokud jste vlastníkem oboru názvů služby Relay nebo máte přístup ke správě a vybrali jste Připojení k prostředku Azure v mém adresáři pro metodu Připojení ion, mělo by se připojení koncového bodu automaticky schválit. Pokud je ve stavu čekání , přečtěte si část Správa privátních koncových bodů pomocí webu Azure Portal .
Přejděte zpět na stránku Sítě oboru názvů a přepněte na kartu Připojení privátního koncového bodu. Měl by se zobrazit privátní koncový bod, který jste vytvořili.

Přidání privátního koncového bodu pomocí PowerShellu

Následující příklad ukazuje, jak pomocí Azure PowerShellu vytvořit připojení privátního koncového bodu k oboru názvů Azure Relay.

Privátní koncový bod a virtuální síť musí být ve stejné oblasti. Váš obor názvů Azure Relay může být v jiné oblasti. Privátní koncový bod používá privátní IP adresu ve vaší virtuální síti.


$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VNET LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"

# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation 

# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
                    -ResourceGroupName $rgName `
                    -Location $vnetlocation `
                    -Name $vnetName `
                    -AddressPrefix 10.0.0.0/16

# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
                    -Name $subnetName `
                    -AddressPrefix 10.0.0.0/24 `
                    -PrivateEndpointNetworkPoliciesFlag "Disabled" `
                    -VirtualNetwork $virtualNetwork

# update virtual network
$virtualNetwork | Set-AzVirtualNetwork

# create a relay namespace
$namespaceResource = New-AzResource -Location $namespaceLocation -ResourceName $namespaceName -ResourceGroupName $rgName -Properties @{} -ResourceType "Microsoft.Relay/namespaces" 

# create a private link service connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
                                -Name $peConnectionName `
                                -PrivateLinkServiceId $namespaceResource.ResourceId `
                                -GroupId "namespace"

# get subnet object that you'll use in the next step                                
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName  $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
                                | Where-Object  {$_.Name -eq $subnetName}  
   
# now, create private endpoint   
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName  `
                                -Name $vnetName   `
                                -Location $vnetlocation `
                                -Subnet  $subnet   `
                                -PrivateLinkServiceConnection $privateEndpointConnection

(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties

Správa privátních koncových bodů pomocí webu Azure Portal

Když vytvoříte privátní koncový bod, musí být připojení schváleno. Pokud je prostředek (obor názvů relay), pro který vytváříte privátní koncový bod, ve vašem adresáři, můžete schválit žádost o připojení za předpokladu, že máte oprávnění ke správě oboru názvů služby Relay. Pokud se připojujete k oboru názvů služby Relay, pro který nemáte přístup ke správě, musíte počkat, až vlastník tohoto prostředku schválí vaši žádost o připojení.

Existují čtyři stavy zřizování:

Akce služby	Stav privátního koncového bodu příjemce služby	Popis
Nic	Nevyřízeno	Připojení ion se vytvoří ručně a čeká na schválení od vlastníka oboru názvů Služby Azure Relay.
Schválit	Schválený	Připojení ion byl automaticky nebo ručně schválen a je připravený k použití.
Odmítnout	Zamítnuto	Připojení odmítl vlastník oboru názvů Služby Azure Relay.
Odebrat	Odpojeno	Připojení odebrání vlastníkem oboru názvů Služby Azure Relay se privátní koncový bod stane informativním a měl by být odstraněn pro vyčištění.

Schválení, odmítnutí nebo odebrání připojení privátního koncového bodu

Přihlaste se k portálu Azure.
Na panelu hledání zadejte Relay.
Vyberte obor názvů, který chcete spravovat.
Vyberte kartu Sítě.
Přejděte do příslušné části níže na základě operace, kterou chcete: schválit, odmítnout nebo odebrat.

Schválení připojení privátního koncového bodu

Pokud existují nějaká čekající připojení, zobrazí se ve stavu zřizování připojení čekající na vyřízení .
Vyberte privátní koncový bod, který chcete schválit.
Vyberte tlačítko Schválit.
Na stránce Schválit připojení zadejte volitelný komentář a vyberte Ano. Pokud vyberete Ne, nic se nestane.
V seznamu by se měl zobrazit stav připojení, které se změnilo na Schválené.

Odmítnutí připojení privátního koncového bodu

Pokud existují nějaká připojení privátního koncového bodu, která chcete odmítnout, ať už se jedná o nevyřízenou žádost nebo existující připojení schválené dříve, vyberte připojení koncového bodu a vyberte tlačítko Odmítnout .
Na stránce Odmítnout připojení zadejte volitelný komentář a vyberte Ano. Pokud vyberete Ne, nic se nestane.
V seznamu by se měl zobrazit stav připojení, které se změnilo.

Odebrání připojení privátního koncového bodu

Pokud chcete odebrat připojení privátního koncového bodu, vyberte ho v seznamu a na panelu nástrojů vyberte Odebrat .
Na stránce Odstranit připojení vyberte Ano a potvrďte odstranění privátního koncového bodu. Pokud vyberete Ne, nic se nestane.
Měl by se zobrazit stav změněný na Odpojeno. Pak se koncový bod v seznamu nezobrazí.

Ověřte, že funguje připojení privátního propojení.

Měli byste ověřit, že se prostředky ve virtuální síti privátního koncového bodu připojují k vašemu oboru názvů Služby Azure Relay přes jeho privátní IP adresu.

Pro účely tohoto testu vytvořte virtuální počítač podle kroků v části Vytvoření virtuálního počítače s Windows na webu Azure Portal.

Na kartě Sítě:

Zadejte virtuální síť a podsíť. Vyberte virtuální síť, na které jste nasadili privátní koncový bod.
Zadejte prostředek veřejné IP adresy.
V případě skupiny zabezpečení sítě síťových adaptérů vyberte Žádné.
Pro vyrovnávání zatížení vyberte Ne.

Připojení k virtuálnímu počítači a otevřete příkazový řádek a spusťte následující příkaz:

nslookup <your-relay-namespace-name>.servicebus.windows.net

Měl by se zobrazit výsledek, který vypadá nějak takto.

Non-authoritative answer:
Name:    <namespace-name>.privatelink.servicebus.windows.net
Address:  10.0.0.4 (private IP address associated with the private endpoint)
Aliases:  <namespace-name>.servicebus.windows.net

Aspekty omezení a návrhu

Aspekty návrhu

Informace o cenách najdete v tématu s cenami služby Azure Private Link.

Omezení

Maximální počet privátních koncových bodů na obor názvů služby Azure Relay: 64.
Maximální počet oborů názvů Azure Relay s privátními koncovými body na předplatné: 64.
Pravidla skupiny zabezpečení sítě (NSG) a trasy definované uživatelem se nevztahují na privátní koncový bod. Další informace najdete ve službě Azure Private Link: Omezení

Důvěryhodné služby Microsoftu

Když povolíte povolit důvěryhodné služby Microsoft obejít toto nastavení brány firewall, udělí se přístup k prostředkům služby Azure Relay následující služby:

Důvěryhodná služba Podporované scénáře použití

Azure Machine Learning AML Kubernetes používá Azure Relay k usnadnění komunikace mezi službami AML a clusterem Kubernetes. Azure Relay je plně spravovaná služba, která poskytuje zabezpečenou obousměrnou komunikaci mezi aplikacemi hostovanými v různých sítích. To je ideální pro použití v prostředích privátních propojení, kde je omezená komunikace mezi prostředky Azure a místními prostředky.

Azure Arc Služby s podporou Služby Azure Arc přidružené k výše uvedeným poskytovatelům prostředků se budou moct připojit k hybridním připojením v oboru názvů Služby Azure Relay jako odesílatel, aniž by byla blokována pravidly firewallu protokolu IP nastavenými v oboru názvů Služby Azure Relay. Microsoft.Hybridconnectivity služba vytvoří hybridní připojení ve vašem oboru názvů Azure Relay a poskytne informace o připojení příslušné službě Arc na základě scénáře. Tyto služby komunikují pouze s vaším oborem názvů Služby Azure Relay, pokud používáte Azure Arc s následujícími službami Azure:

– Azure Kubernetes
– Azure Machine Učení
– Microsoft Purview

Důvěryhodná služba	Podporované scénáře použití
Azure Machine Learning	AML Kubernetes používá Azure Relay k usnadnění komunikace mezi službami AML a clusterem Kubernetes. Azure Relay je plně spravovaná služba, která poskytuje zabezpečenou obousměrnou komunikaci mezi aplikacemi hostovanými v různých sítích. To je ideální pro použití v prostředích privátních propojení, kde je omezená komunikace mezi prostředky Azure a místními prostředky.
Azure Arc	Služby s podporou Služby Azure Arc přidružené k výše uvedeným poskytovatelům prostředků se budou moct připojit k hybridním připojením v oboru názvů Služby Azure Relay jako odesílatel, aniž by byla blokována pravidly firewallu protokolu IP nastavenými v oboru názvů Služby Azure Relay. `Microsoft.Hybridconnectivity` služba vytvoří hybridní připojení ve vašem oboru názvů Azure Relay a poskytne informace o připojení příslušné službě Arc na základě scénáře. Tyto služby komunikují pouze s vaším oborem názvů Služby Azure Relay, pokud používáte Azure Arc s následujícími službami Azure: – Azure Kubernetes – Azure Machine Učení – Microsoft Purview

Další důvěryhodné služby pro Azure Relay najdete níže:

Azure Event Grid
Azure IoT Hub
Azure Stream Analytics
Azure Monitor
Azure API Management
Azure Synapse
Průzkumník dat Azure
Azure IoT Central
Azure Healthcare Data Services
Azure Digital Twins