Créer une règle de réseau pour instance de ressource Azure Storage

Vous pouvez activer le trafic à partir d’instances de ressources Azure spécifiques en créant une règle réseau d’instance de ressource.

Les règles réseau d’instance de ressource peuvent être combinées avec d’autres règles réseau pour contrôler le trafic vers votre compte de stockage. Pour plus d’informations, consultez le pare-feu stockage Azure et les règles de réseau virtuel.

Important

Une règle de réseau d’instance de ressource fournit l’accès au point de terminaison public, mais pas aux données. Pour l’accès aux données, vous devez attribuer le rôle Azure approprié à l’identité managée affectée par le système de la ressource Azure. Consultez Attribuer un rôle Azure pour l’accès aux données d’objet blob.

Créer une règle de réseau pour l'instance de ressource

portail

Vous pouvez ajouter ou supprimer des règles réseau d’instance de ressources dans le portail Azure :

1. Connectez-vous au portail Azure.

2. Recherchez votre compte de stockage et affichez la vue d’ensemble du compte.

3. Dans le menu de service, sous Sécurité + réseau, sélectionnez Réseau, puis sous Paramètres des Ressources : Réseaux virtuels, adresses IP et exceptions, sélectionnez Afficher.

4. Faites défiler jusqu’à la section Instances de ressource . Dans la liste déroulante Type de ressource, sélectionnez le type de ressource de votre instance de ressource.

5. Dans la liste déroulante Nom de l’instance, sélectionnez l’instance de ressource. Vous pouvez aussi choisir d’inclure toutes les instances de ressource dans le locataire, l’abonnement ou le groupe de ressources actif.

6. Sélectionnez Enregistrer pour appliquer vos modifications. L’instance de ressource apparaît dans la section Instances de ressources de la page paramètres réseau.

Pour supprimer l’instance de ressource, sélectionnez l’icône de suppression () à côté de l’instance de ressource.

PowerShell

Vous pouvez utiliser des commandes PowerShell pour ajouter ou supprimer des règles réseau d’instance de ressources.

Accorder l'accès

Ajoutez une règle de réseau qui accorde l’accès à partir d’une instance de ressource :

$resourceId = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.DataFactory/factories/myDataFactory"
$tenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
$resourceGroupName = "myResourceGroup"
$accountName = "mystorageaccount"

Add-AzStorageAccountNetworkRule -ResourceGroupName $resourceGroupName -Name $accountName -TenantId $tenantId -ResourceId $resourceId

Spécifiez plusieurs instances de ressource à la fois en modifiant l’ensemble de règles de réseau :

$resourceId1 = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.DataFactory/factories/myDataFactory"
$resourceId2 = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.Sql/servers/mySQLServer"
$tenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
$resourceGroupName = "myResourceGroup"
$accountName = "mystorageaccount"

Update-AzStorageAccountNetworkRuleSet -ResourceGroupName $resourceGroupName -Name $accountName -ResourceAccessRule (@{ResourceId=$resourceId1;TenantId=$tenantId},@{ResourceId=$resourceId2;TenantId=$tenantId}) 

Suppression d'accès

Supprimez une règle de réseau qui accorde l’accès à partir d’une instance de ressource :

$resourceId = "/subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.DataFactory/factories/myDataFactory"
$tenantId = "xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx"
$resourceGroupName = "myResourceGroup"
$accountName = "mystorageaccount"

Remove-AzStorageAccountNetworkRule -ResourceGroupName $resourceGroupName -Name $accountName -TenantId $tenantId -ResourceId $resourceId  

Supprimez toutes les règles de réseau qui accordent l’accès à partir des instances de ressource :

$resourceGroupName = "myResourceGroup"
$accountName = "mystorageaccount"

Update-AzStorageAccountNetworkRuleSet -ResourceGroupName $resourceGroupName -Name $accountName -ResourceAccessRule @()  

Afficher une liste d’instances de ressources autorisées

Affichez la liste complète des instances de ressource qui ont accès au compte de stockage :

$resourceGroupName = "myResourceGroup"
$accountName = "mystorageaccount"

$rule = Get-AzStorageAccountNetworkRuleSet -ResourceGroupName $resourceGroupName -Name $accountName
$rule.ResourceAccessRules 

Azure CLI

Vous pouvez utiliser des commandes Azure CLI pour ajouter ou supprimer des règles réseau d’instance de ressources.

Accorder l'accès

Ajoutez une règle de réseau qui accorde l’accès à partir d’une instance de ressource :

az storage account network-rule add \
    --resource-id /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.Synapse/workspaces/testworkspace \
    --tenant-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx \
    -g myResourceGroup \
    --account-name mystorageaccount

Suppression d'accès

Supprimez une règle de réseau qui accorde l’accès à partir d’une instance de ressource :

az storage account network-rule remove \
    --resource-id /subscriptions/xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx/resourceGroups/myResourceGroup/providers/Microsoft.Synapse/workspaces/testworkspace \
    --tenant-id xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx \
    -g myResourceGroup \
    --account-name mystorageaccount

Afficher une liste d’instances de ressources autorisées

Affichez la liste complète des instances de ressource qui ont accès au compte de stockage :

az storage account network-rule list \
    -g myResourceGroup \
    --account-name mystorageaccount

Voir aussi

• Pare-feu stockage Azure et règles de réseau virtuel