Festlegen der Standardregel für den Zugriff auf öffentliche Netzwerke für ein Azure Storage-Konto

Standardmäßig akzeptieren Speicherkonten Verbindungen von Clients in jedem Netzwerk. Sie können den Zugriff auf ausgewählte Netzwerke einschränken oder den Datenverkehr von allen Netzwerken verhindern und den Zugriff nur über einen privaten Endpunkt zulassen.

Festlegen der Standardregel für den Zugriff auf öffentliche Netzwerke

Portal

1. Navigieren Sie zu dem Speicherkonto, das Sie schützen möchten.

2. Wählen Sie im Dienstmenü unter Sicherheit und Netzwerk die Option Azure-Netzwerk aus.

3. Wählen Sie "Verwalten" und dann den Netzwerkzugriff aus, der über den öffentlichen Endpunkt des Speicherkontos aktiviert ist:

   • Um Datenverkehr aus allen Netzwerken zuzulassen, wählen Sie "Aktivieren" und dann " Aus allen Netzwerken aktiviert" aus.

   • Um Datenverkehr nur aus bestimmten virtuellen Netzwerken, IP-Adressbereichen oder bestimmten Azure-Ressourcen zuzulassen, wählen Sie "Aktivieren" und dann " Aus ausgewählten Netzwerken aktiviert" aus. Sie werden aufgefordert, virtuelle Netzwerke, IP-Adressbereiche oder Ressourceninstanzen hinzuzufügen.

   • Um den Datenverkehr von allen Netzwerken zu blockieren, wählen Sie "Deaktivieren" aus.

   • Um den Datenverkehr mithilfe eines Netzwerksicherheitsperimeters zu sichern, wählen Sie "Durch Umkreis gesichert" aus.

4. Wählen Sie "Speichern" aus, um Ihre Änderungen anzuwenden.

PowerShell

1. Installieren Sie Azure PowerShell, und melden Sie sich an.

2. Wählen Sie den Typ des öffentlichen Netzwerkzugriffs aus, den Sie zulassen möchten:

   • Um Datenverkehr aus allen Netzwerken zuzulassen, verwenden Sie den Befehl Update-AzStorageAccountNetworkRuleSet, und legen Sie den Parameter -DefaultAction auf Allow fest:

     Update-AzStorageAccountNetworkRuleSet -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -DefaultAction Allow
     

   • Um Datenverkehr nur aus bestimmten virtuellen Netzwerken zuzulassen, verwenden Sie den Befehl Update-AzStorageAccountNetworkRuleSet, und legen Sie den Parameter -DefaultAction auf Deny fest:

     Update-AzStorageAccountNetworkRuleSet -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -DefaultAction Deny
     

     Von Bedeutung

     Netzwerkregeln haben keine Auswirkung, es sei denn, Sie legen den -DefaultAction Parameter auf Deny. Doch das Ändern dieser Einstellung kann die Fähigkeit Ihrer Anwendung, eine Verbindung mit Azure Storage herzustellen, beeinträchtigen. Stellen Sie sicher, dass Sie Zugriff auf alle zulässigen Netzwerke gewähren oder den Zugriff über einen privaten Endpunkt einrichten, bevor Sie diese Einstellung ändern.

   • Um Datenverkehr aus allen Netzwerken zu blockieren, verwenden Sie den Befehl Set-AzStorageAccount, und legen Sie den Parameter -PublicNetworkAccess auf Disabled fest. Datenverkehr wird nur über einen privaten Endpunkt zugelassen. Sie müssen diesen privaten Endpunkt erstellen.

     Set-AzStorageAccount -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -PublicNetworkAccess Disabled
     

Azure CLI

Hinweis

Es wird empfohlen, das Azure Az PowerShell-Modul für die Interaktion mit Azure zu verwenden. Informationen zu den ersten Schritten finden Sie unter Installieren von Azure PowerShell. Informationen zum Migrieren zum Az PowerShell-Modul finden Sie unter Migrieren von Azure PowerShell von AzureRM zum Az-Modul.

1. Installieren Sie die Azure-Befehlszeilenschnittstelle, und melden Sie sich an.

2. Wählen Sie den Typ des öffentlichen Netzwerkzugriffs aus, den Sie zulassen möchten:

   • Um Datenverkehr aus allen Netzwerken zuzulassen, verwenden Sie den Befehl az storage account update, und legen Sie den Parameter --default-action auf Allow fest:

     az storage account update --resource-group "myresourcegroup" --name "mystorageaccount" --default-action Allow
     

   • Um Datenverkehr nur aus bestimmten virtuellen Netzwerken zuzulassen, verwenden Sie den Befehl az storage account update, und legen Sie den Parameter --default-action auf Deny fest:

     az storage account update --resource-group "myresourcegroup" --name "mystorageaccount" --default-action Deny
     

     Von Bedeutung

     Netzwerkregeln haben keine Auswirkung, es sei denn, Sie legen den --default-action Parameter auf Deny. Doch das Ändern dieser Einstellung kann die Fähigkeit Ihrer Anwendung, eine Verbindung mit Azure Storage herzustellen, beeinträchtigen. Stellen Sie sicher, dass Sie Zugriff auf alle zulässigen Netzwerke gewähren oder den Zugriff über einen privaten Endpunkt einrichten, bevor Sie diese Einstellung ändern.

   • Um Datenverkehr aus allen Netzwerken zu blockieren, verwenden Sie den Befehl az storage account update, und legen Sie den Parameter --public-network-access auf Disabled fest. Datenverkehr wird nur über einen privaten Endpunkt zugelassen. Sie müssen diesen privaten Endpunkt erstellen.

     az storage account update --name MyStorageAccount --resource-group MyResourceGroup --public-network-access Disabled
     

Hinweis

Firewalleinstellungen, die den Zugriff auf Speicherdienste einschränken, bleiben bis zu einer Minute wirksam, nachdem Sie Einstellungen gespeichert haben, die den Zugriff zulassen.

Nächste Schritte

• Azure Storage-Firewall und Virtuelle Netzwerkregeln
• Private Endpunkte