Konfigurieren des Netzwerkzugriffs für Azure Elastic SAN

Artikel
02/13/2024

Sie können den Zugriff auf Ihre Azure Elastic SAN-Volumes (Storage Area Network) steuern. Durch die Steuerung des Zugriffs können Sie Ihre Daten schützen und die Anforderungen Ihrer Anwendungen und Unternehmensumgebungen erfüllen.

In diesem Artikel wird beschrieben, wie Sie Ihr Elastic SAN so konfigurieren, dass der Zugriff von Ihrer Virtuellen Azure-Netzwerkinfrastruktur aus zugelassen wird.

So konfigurieren Sie den Netzwerkzugriff auf Ihr Elastic SAN:

Konfigurieren des öffentlichen Netzwerkzugriffs
Konfigurieren Sie einen virtuellen Netzwerkendpunkt.
Konfigurieren Sie Clientverbindungen.

Voraussetzungen

Wenn Sie Azure PowerShell verwenden, installieren Sie das neueste Azure PowerShell-Modul.
Wenn Sie die Azure CLI verwenden, installieren Sie die neueste Version.
Nachdem Sie die neueste Version installiert haben, führen Sie az extension add -n elastic-san zum Installieren der Erweiterung für Elastic SAN aus. Es sind keine zusätzlichen Registrierungsschritte erforderlich.

Begrenzungen

Die folgende Liste enthält die Regionen, in denen Elastic SAN derzeit verfügbar ist, und zeigt, in welchen Regionen zonenredundanter Speicher (ZRS) sowie lokal redundanter Speicher (LRS) oder nur LRS unterstützt wird:

Südafrika, Norden – LRS
Asien, Osten – LRS
Asien, Südosten – LRS
Brasilien, Süden – LRS
Kanada, Mitte – LRS
Frankreich, Mitte – LRS und ZRS
Deutschland, Westen-Mitte – LRS
Australien, Osten: LRS
Europa, Norden – LRS und ZRS
Europa, Westen – LRS und ZRS
Vereinigtes Königreich, Süden: LRS
Japan, Osten – LRS
Südkorea, Mitte – LRS
USA (Mitte)
USA, Osten: LRS
USA, Süden-Mitte: LRS
USA, Osten 2: LRS
USA, Westen 2 – LRS und ZRS
USA, Westen 3: LRS
Schweden, Mitte: LRS
Schweiz, Norden – LRS

Konfigurieren des öffentlichen Netzwerkzugriffs

Sie aktivieren den öffentlichen Internetzugriff auf Ihre Elastic SAN-Endpunkte auf SAN-Ebene. Durch Aktivieren des öffentlichen Netzwerkzugriffs für ein Elastic SAN können Sie den öffentlichen Zugriff auf einzelne Datenträgergruppen über Speicherdienstendpunkte konfigurieren. Standardmäßig wird der öffentliche Zugriff auf einzelne Datenträgergruppen verweigert, auch wenn Sie ihn auf SAN-Ebene zulassen. Sie müssen Ihre Datenträgergruppen explizit so konfigurieren, dass der Zugriff von bestimmten IP-Adressbereichen und virtuellen Netzwerksubnetzen zugelassen wird.

Sie können den Zugriff auf öffentliche Netzwerke aktivieren, wenn Sie ein elastisches SAN erstellen oder es für ein vorhandenes SAN aktivieren, indem Sie das Azure PowerShell-Modul oder die Azure-Befehlszeilenschnittstelle verwenden.

Verwenden Sie das Azure PowerShell-Modul oder die Azure-Befehlszeilenschnittstelle, um den Zugriff auf öffentliche Netzwerke zu ermöglichen.

Verwenden Sie diesen Beispielcode, um ein Elastic SAN mit aktiviertem öffentlichen Netzwerkzugriff mithilfe von PowerShell zu erstellen. Ersetzen Sie die Variablenwerte, bevor Sie das Beispiel ausführen.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName       = "<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName     = "<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location     = "<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName      = "<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize     = "<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize = "<ExtendedSize>"
# Setup the parameters to create an Elastic San with public network access enabled.
$NewEsanArguments = @{
    Name                    = $EsanName
    ResourceGroupName       = $RgName
    BaseSizeTiB             = $BaseSize
    ExtendedCapacitySizeTiB = $ExtendedSize
    Location                = $Location
    SkuName                 = $SkuName
    PublicNetworkAccess     = "Enabled"
}
# Create the Elastic San.
New-AzElasticSan @NewEsanArguments

Verwenden Sie diesen Beispielcode, um ein Elastic SAN zu aktualisieren, um den Zugriff auf öffentliche Netzwerke mithilfe von PowerShell zu ermöglichen. Ersetzen Sie die Werte von RgName und EsanName durch eigene und führen Sie dann das Beispiel aus:

# Set the variable values.
$RgName       = "<ResourceGroupName>"
$EsanName     = "<ElasticSanName>"
# Update the Elastic San.
Update-AzElasticSan -Name $EsanName -ResourceGroupName $RgName -PublicNetworkAccess Enabled

Verwenden Sie diesen Beispielcode, um ein Elastic SAN mit aktiviertem öffentlichem Netzwerkzugriff mithilfe der Azure CLI zu erstellen. Ersetzen Sie die Variablenwerte, bevor Sie das Beispiel ausführen.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName="<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName="<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location="<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName="<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize="<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize="<ExtendedSize>"

# Create the Elastic San.
az elastic-san create \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --location $Location \
    --base-size-tib $BaseSize \
    --extended-capacity-size-tib $ExtendedSize \
    --sku $SkuName \
    --public-network-access enabled

Verwenden Sie diesen Beispielcode, um ein Elastic SAN zu aktualisieren, um den Zugriff auf öffentliche Netzwerke mithilfe der Azure CLI zu ermöglichen. Ersetzen Sie die Werte von RgName und EsanName durch ihre eigenen Werte:

# Set the variable values.
$RgName="<ResourceGroupName>"
$EsanName="<ElasticSanName>"
# Update the Elastic San.
az elastic-san update \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --public-network-access enabled

Konfigurieren eines virtuellen Netzwerkendpunkts

Sie können Ihre Elastic SAN-Volumegruppen so konfigurieren, dass der Zugriff nur über bestimmte Endpunkte in bestimmten VNet-Subnetzen zugelassen wird. Die zulässigen Subnetze können zu virtuellen Netzwerken in demselben Abonnement oder in einem anderen Abonnement gehören, einschließlich Abonnements, die zu einem anderen Microsoft Entra-Mandanten gehören.

Sie können den Zugriff auf Ihre Elastic SAN-Volumegruppen über zwei Arten von Azure-VNet-Endpunkten zulassen:

Ein privater Endpunkt verwendet eine oder mehrere private IP-Adressen aus Ihrem Subnetz des virtuellen Netzwerks, um über das Microsoft-Backbonenetzwerk auf eine Elastic SAN-Volumegruppe zuzugreifen. Bei einem privaten Endpunkt wird der Datenverkehr zwischen Ihrem virtuellen Netzwerk und der Volumegruppe über eine private Verbindung gesichert.

VNet-Dienstendpunkte sind öffentlich und über das Internet zugänglich. Sie können Regeln für virtuelle Netzwerke konfigurieren, um den Zugriff auf Ihre Volumegruppe zu steuern, wenn Sie Speicherdienstendpunkte verwenden.

Netzwerkregeln gelten nur für die öffentlichen Endpunkte einer Volumegruppe, nicht für private Endpunkte. Der Vorgang zur Genehmigung der Erstellung eines privaten Endpunkts gewährt impliziten Zugriff auf Datenverkehr aus dem Subnetz, das den privaten Endpunkt hostet. Sie können Netzwerkrichtlinien verwenden, um den Datenverkehr über private Endpunkte zu steuern, wenn Sie differenziertere Zugriffsregeln definieren möchten. Wenn Sie ausschließlich private Endpunkte verwenden möchten, aktivieren Sie keine Dienstendpunkte für die Datenträgergruppe.

Informationen dazu, welcher Endpunkt für Sie am besten geeignet ist, finden Sie unter Private Endpunkte und Dienstendpunkte im Vergleich.

Sobald der Netzwerkzugriff für eine Volumegruppe konfiguriert ist, wird die Konfiguration von allen Volumes geerbt, die zur Gruppe gehören.

Der Prozess zum Aktivieren der einzelnen Endpunkttypen:

Konfigurieren eines privaten Endpunkts
Konfigurieren eines Azure Storage-Dienstendpunkts

Konfigurieren eines privaten Endpunkts

Wichtig

Für Elastic SAN mit einem lokal redundantem Speicher (LRS) als Redundanzoption werden private Endpunkte in allen Regionen unterstützt, in denen Elastic SAN verfügbar ist. Private Endpunkte werden derzeit nicht für Elastic SAN mit einem zonenredundantem Speicher (ZRS) als Redundanzoption unterstützt.

Beim Konfigurieren einer Verbindung mit einem privaten Endpunkt sind zwei Schritte erforderlich:

Erstellen des Endpunkts und der zugeordneten Verbindung.
Genehmigen der Verbindung.

Sie können auch Netzwerkrichtlinien verwenden, um die Zugriffssteuerung für private Endpunkte zu verfeinern.

Um einen privaten Endpunkt für eine Elastic SAN-Volumegruppe zu erstellen, müssen Sie über die Rolle Elastic SAN Volumegruppenbesitzer verfügen. Um eine neue Verbindung mit einem privaten Endpunkt zu genehmigen, benötigen Sie die Berechtigung für den Azure-RessourcenanbietervorgangMicrosoft.ElasticSan/elasticSans/PrivateEndpointConnectionsApproval/action. Die Berechtigung für diesen Vorgang ist in der Rolle Elastic SAN Netzwerkadministrator enthalten, kann aber auch über eine benutzerdefinierte Azure-Rolle erteilt werden.

Wenn Sie den Endpunkt aus einem Benutzerkonto erstellen, das über alle für die Erstellung und Genehmigung erforderlichen Rollen und Berechtigungen verfügt, kann der Prozess in einem Schritt abgeschlossen werden. Andernfalls sind zwei separate Schritte von zwei verschiedenen Benutzern erforderlich.

Das Elastic SAN und das virtuelle Netzwerk können sich in verschiedenen Ressourcengruppen, Regionen und Abonnements befinden, einschließlich Abonnements, die verschiedenen Microsoft Entra-Mandanten gehören. In diesen Beispielen erstellen wir den privaten Endpunkt in derselben Ressourcengruppe wie das virtuelle Netzwerk.

Derzeit können Sie einen privaten Endpunkt nur mithilfe von PowerShell oder der Azure CLI konfigurieren.

Das Bereitstellen eines privaten Endpunkts für eine Elastic SAN Volumegruppe mit PowerShell umfasst die folgenden Schritte:

Rufen Sie das Subnetz aus den Anwendungen ab, die eine Verbindung herstellen.
Rufen Sie die Elastic SAN Volumegruppe ab.
Erstellen Sie eine Private Link-Dienstverbindung mithilfe der Volumegruppe als Eingabe.
Erstellen Sie den privaten Endpunkt mithilfe des Subnetzes und der Private Link-Dienstverbindung als Eingabe.
(Optional, wenn Sie den zweistufigen Prozess (Erstellung, dann Genehmigung)) verwenden: Der Elastic SAN Netzwerkadministrator genehmigt die Verbindung.

Verwenden Sie diesen Beispielcode, um einen privaten Endpunkt für Ihre Elastic SAN-Volumegruppe mit PowerShell zu erstellen. Ersetzen Sie die Werte von RgName, VnetName, SubnetName, EsanName, EsanVgName, PLSvcConnectionName, EndpointName und Location durch Ihre eigenen Werte:

# Set the resource group name.
$RgName     = "<ResourceGroupName>"

# Set the virtual network and subnet, which is used when creating the private endpoint.
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

$Vnet = Get-AzVirtualNetwork -Name $VnetName -ResourceGroupName $RgName
$Subnet = $Vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq $SubnetName}

# Set the Elastic SAN, which is used when creating the private endpoint service connection.
$EsanName   = "<ElasticSanName>"
$EsanVgName = "<ElasticSanVolumeGroupName>"

$Esan = Get-AzElasticSan -Name $EsanName -ResourceGroupName $RgName

# Create the private link service connection, which is input to creating the private endpoint.
$PLSvcConnectionName = "<PrivateLinkSvcConnectionName>"
$EsanPlSvcConn = New-AzPrivateLinkServiceConnection -Name $PLSvcConnectionName -PrivateLinkServiceId $Esan.Id -GroupId $EsanVgName

# Create the private endpoint.
$EndpointName       = '<PrivateEndpointName>'
$Location           = '<Location>'
$PeArguments        = @{
    Name                         = $EndpointName
    ResourceGroupName            = $RgName
    Location                     = $Location
    Subnet                       = $Subnet
    PrivateLinkServiceConnection = $EsanPlSvcConn
}
New-AzPrivateEndpoint @PeArguments # -ByManualRequest # (Uncomment the `-ByManualRequest` parameter if you are using the two-step process).

Verwenden Sie diesen Beispielcode, um die Private Link-Dienstverbindung zu genehmigen, wenn Sie den zweistufigen Prozess verwenden. Verwenden Sie die Variablen aus dem vorherigen Codebeispiel:

# Get the private endpoint and associated connection.
$PrivateEndpoint = Get-AzPrivateEndpoint -Name $EndpointName -ResourceGroupName $RgName
$PeConnArguments  = @{
    ServiceName                  = $EsanName
    ResourceGroupName            = $RgName
    PrivateLinkResourceType      = "Microsoft.ElasticSan/elasticSans"
}
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}

# Approve the private link service connection.
$ApprovalDesc="<ApprovalDesc>"
Approve-AzPrivateEndpointConnection @PeConnArguments -Name $EndpointConnection.Name -Description $ApprovalDesc

# Get the private endpoint connection anew and verify the connection status.
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}
$EndpointConnection.PrivateLinkServiceConnectionState

Das Bereitstellen eines privaten Endpunkts für eine Elastic SAN-Volumegruppe mithilfe der Azure-Befehlszeilenschnittstelle umfasst drei Schritte:

Rufen Sie die ID der privaten Verbindungsressource des Elastic SAN ab.
Erstellen Sie den privaten Endpunkt mithilfe von Eingaben:
1. ID der privaten Verbindungsressource
2. Volume-Gruppenname
3. Ressourcengruppenname
4. Subnetzname
5. Name des virtuellen Netzwerks
(Optional, wenn Sie den zweistufigen Prozess (Erstellung, dann Genehmigung)) verwenden: Der Elastic SAN Netzwerkadministrator genehmigt die Verbindung.

Verwenden Sie diesen Beispielcode, um einen privaten Endpunkt für Ihre Elastic SAN-Volumegruppe mit der Azure CLI zu erstellen. Heben Sie die Auskommentierung des Parameters --manual-request auf, wenn Sie den zweistufigen Prozess verwenden. Ersetzen Sie alle Beispielvariablenwerte durch Ihre eigenen:

# Define some variables.
# The name of the resource group where the resources are deployed.
RgName="<ResourceGroupName>"
# The name of the subnet from which access to the volume group will be configured.
VnetName="<VnetName>"
# The name of the virtual network that includes the subnet.
SubnetName="<SubnetName>"
# The name of the Elastic SAN that the volume group belongs to.
EsanName="<ElasticSanName>"
# The name of the Elastic SAN Volume Group to which a connection is to be created.
EsanVgName="<ElasticSanVolumeGroupName>"
# The name of the new private endpoint
EndpointName="<PrivateEndpointName>"
# The name of the new private link service connection to the volume group.
PLSvcConnectionName="<PrivateLinkSvcConnectionName>"
# The region where the new private endpoint will be created.
Location="<Location>"
# The description provided for the approval of the private endpoint connection.
ApprovalDesc="<ApprovalDesc>"

# Get the id of the Elastic SAN.
id=$(az elastic-san show \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --query 'id' \
    --output tsv)

# Create the private endpoint.
az network private-endpoint create \
    --connection-name $PLSvcConnectionName \
    --name $EndpointName \
    --private-connection-resource-id $id \
    --resource-group $RgName \
    --vnet-name $VnetName \
    --subnet $SubnetName \
    --location $Location \
    --group-id $EsanVgName # --manual-request

# Verify the status of the private endpoint connection.
PLConnectionName=$(az network private-endpoint-connection list \
    --name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --query "[?properties.groupIds[0]=='$EsanVgName'].name" -o tsv)

az network private-endpoint-connection show  \
    --resource-name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --name $PLConnectionName

Verwenden Sie diesen Beispielcode, um die Private Link-Dienstverbindung zu genehmigen, wenn Sie den zweistufigen Prozess verwenden. Verwenden Sie die Variablen aus dem vorherigen Codebeispiel:

az network private-endpoint-connection approve \
    --resource-name $EsanName \
    --resource-group $RgName \
    --name $PLConnectionName \
    --type Microsoft.ElasticSan/elasticSans \
    --description $ApprovalDesc

Konfigurieren eines Azure Storage-Dienstendpunkts

Zum Konfigurieren eines Azure Storage-Dienstendpunkts aus dem virtuellen Netzwerk, in dem Zugriff erforderlich ist, benötigen Sie die Berechtigung für den Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/actionAzure-Ressourcenanbietervorgang über eine benutzerdefinierte Azure-Rolle, um einen Dienstendpunkt zu konfigurieren.

Hinweis

Die Konfiguration von Regeln, die Zugriff auf Subnetze in virtuellen Netzwerken gewähren, die Teil eines anderen Microsoft Entra-Mandanten sind, wird zurzeit nur über PowerShell, CLI und Rest-APIs unterstützt. Diese Regeln können nicht über das Azure-Portal konfiguriert werden, obwohl sie darin möglicherweise angezeigt werden.

Navigieren Sie zu Ihrem virtuellen Netzwerk, und wählen Sie Dienstendpunkte aus.
Klicken Sie auf + Hinzufügen.
Auf dem Bildschirm Dienstendpunkte hinzufügen:
1. Wählen Sie unter Dienst die Option Microsoft.Storage.Global aus, um einen regionsübergreifenden Dienstendpunkt hinzuzufügen.
Hinweis

Möglicherweise wird Microsoft.Storage als verfügbarer Speicherdienstendpunkt aufgeführt. Diese Option gilt für Endpunkte innerhalb einer Region, die nur aus Gründen der Abwärtskompatibilität existieren. Verwenden Sie immer regionsübergreifende Endpunkte, es sei denn, Sie haben einen bestimmten Grund für die Verwendung regionsinterner Endpunkte.
Wählen Sie für Subnetze alle Subnetze aus, in denen Sie den Zugriff zulassen möchten.
Klicken Sie auf Hinzufügen.

Verwenden Sie diesen Beispielcode, um einen Speicherdienstendpunkt für Ihre Elastic SAN-Volumegruppe mit PowerShell zu erstellen.

# Define some variables
$RgName     = "<ResourceGroupName>"
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

# Get the virtual network and subnet
$Vnet = Get-AzVirtualNetwork -ResourceGroupName $RgName -Name $VnetName
$Subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $Vnet -Name $SubnetName

# Enable the storage service endpoint
$Vnet | Set-AzVirtualNetworkSubnetConfig -Name $SubnetName -AddressPrefix $Subnet.AddressPrefix -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Verwenden Sie diesen Beispielcode, um einen Speicherdienstendpunkt für Ihre Elastic SAN-Volumegruppe mit der Azure CLI zu erstellen.

# Define some variables
RgName="<ResourceGroupName>"
VnetName="<VnetName>"
SubnetName="<SubnetName>"

# Enable the storage service endpoint
az network vnet subnet update --resource-group $RgName --vnet-name $VnetName --name $SubnetName --service-endpoints "Microsoft.Storage.Global"

Konfigurieren von Regeln für virtuelle Netzwerke

Alle eingehenden Anforderungen für Daten über einen Dienstendpunkt werden standardmäßig blockiert. Nur Anwendungen, die Daten aus zulässigen Quellen anfordern, die Sie in den Netzwerkregeln konfigurieren, können auf Ihre Daten zugreifen.

Sie können VNET-Regeln für Volumegruppen über das Azure-Portal, PowerShell oder die CLI verwalten.

Wichtig

Wenn Sie den Zugriff auf Ihr Speicherkonto über ein virtuelles Netzwerk/Subnetz in einem anderen Microsoft Entra-Mandanten aktivieren möchten, müssen Sie PowerShell oder die Azure CLI verwenden. Das Azure-Portal zeigt keine Subnetze in anderen Microsoft Entra-Mandanten an.

Wenn Sie ein Subnetz löschen, das in eine Netzwerkregel einbezogen wurde, wird es aus den Netzwerkregeln für die Volumegruppe entfernt. Wenn Sie ein neues Subnetz mit demselben Namen erstellen, hat es keinen Zugriff auf die Volumegruppe. Wenn Sie den Zugriff zulassen möchten, müssen Sie das neue Subnetz in den Netzwerkregeln für die Volumegruppe explizit autorisieren.

Navigieren Sie zu Ihrem SAN, und wählen Sie Volumegruppen aus.
Wählen Sie eine Volumegruppe und anschließend Erstellen aus.
Fügen Sie ein vorhandenes virtuelles Netzwerk und Subnetz hinzu, und wählen Sie Speichern aus.

Installieren Sie Azure PowerShell, und melden Sie sich an.

Listen Sie die VNET-Regeln auf.

$Rules = Get-AzElasticSanVolumeGroup -ResourceGroupName $RgName -ElasticSanName $sanName -Name $volGroupName
$Rules.NetworkAclsVirtualNetworkRule

Aktivieren Sie den Dienstendpunkt für Azure Storage in einem vorhandenen virtuellen Netzwerk und Subnetz.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Fügen Sie eine Netzwerkregel für ein virtuelles Netzwerk und Subnetz hinzu.
```
$rule = New-AzElasticSanVirtualNetworkRuleObject -VirtualNetworkResourceId $Subnet.Id -Action Allow

Add-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName $RgName -ElasticSanName $sanName -VolumeGroupName $volGroupName -NetworkAclsVirtualNetworkRule $rule
```
Tipp

Wenn Sie eine Netzwerkregel für ein Subnetz in einem virtuellen Netzwerk hinzufügen möchten, das zu einem anderen Microsoft Entra-Mandanten gehört, verwenden Sie einen vollqualifizierten VirtualNetworkResourceId-Parameter im Format „/subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name“.

Entfernen Sie eine VNET-Regel.

## You can remove a virtual network rule by object, by resource ID, or by removing all the rules in a volume group
### remove by networkRule object
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkRule $virtualNetworkRule1,$virtualNetworkRule2
### remove by networkRuleResourceId
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkResourceId "myResourceID"
### Remove all network rules in a volume group by pipeline
((Get-AzElasticSanVolumeGroup -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName).NetworkAclsVirtualNetworkRule) | Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName

Installieren Sie die Azure-Befehlszeilenschnittstelle, und melden Sie sich an.
Listen Sie Informationen aus einer bestimmten Volumegruppe, einschließlich deren VNET-Regeln, auf.
```
az elastic-san volume-group show -e $sanName -g $RgName -n $volumeGroupName
```

Aktivieren Sie den Dienstendpunkt für Azure Storage in einem vorhandenen virtuellen Netzwerk und Subnetz.

az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

Fügen Sie eine Netzwerkregel für ein virtuelles Netzwerk und Subnetz hinzu.

Tipp

Wenn Sie eine Regel für ein Subnetz in einem virtuellen Netzwerk hinzufügen möchten, das zu einem anderen Microsoft Entra-Mandanten gehört, verwenden Sie eine vollqualifizierte Subnetz-ID im Format /subscriptions/\<subscription-ID\>/resourceGroups/\<resourceGroup-Name\>/providers/Microsoft.Network/virtualNetworks/\<vNet-name\>/subnets/\<subnet-name\>.

Mithilfe des Parameters Abonnement können Sie die Subnetz-ID für ein virtuelles Netzwerk abrufen, das zu einem anderen Microsoft Entra-Mandanten gehört.

# First, get the current length of the list of virtual networks. This is needed to ensure you append a new network instead of replacing existing ones.
virtualNetworkListLength = az elastic-san volume-group show -e $sanName -n $volumeGroupName -g $RgName --query 'length(networkAcls.virtualNetworkRules)'

az elastic-san volume-group update -e $sanName -g $RgName --name $volumeGroupName --network-acls virtual-network-rules[$virtualNetworkListLength] "{virtualNetworkRules:[{id:/subscriptions/subscriptionID/resourceGroups/RGName/providers/Microsoft.Network/virtualNetworks/$VnetName/subnets/default, action:Allow}]}"

Entfernen Sie eine Netzwerkregel. Mit dem folgenden Befehl wird die erste Netzwerkregel entfernt. Ändern Sie ihn, um die von Ihnen gewünschte Netzwerkregel zu entfernen.
```
az elastic-san volume-group update -e $sanName -g $RgName -n $volumeGroupName --network-acls virtual-network-rules[1]=null
```

Konfigurieren von Clientverbindungen

Nachdem Sie die gewünschten Endpunkte aktiviert und den Zugriff in Ihren Netzwerkregeln gewährt haben, können Sie Ihre Clients so konfigurieren, dass sie eine Verbindung mit den entsprechenden Elastic SAN-Datenträgern herstellen.