Configurer Azure Application Gateway Private Link

Application Gateway Private Link vous permet de connecter vos charges de travail via une connexion privée couvrant les réseaux virtuels et les abonnements. Pour plus d’informations, consultez Application Gateway Private Link.

Options de configuration

Il y a plusieurs options possibles pour configurer Application Gateway Private Link, parmi lesquelles le portail Azure, Azure PowerShell et Azure CLI.

Azure portal

Définir un sous-réseau pour Private Link Configuration

Pour activer Private Link Configuration, vous avez besoin d’un sous-réseau, différent du sous-réseau Application Gateway, pour la configuration d’adresse IP de liaison privée. Private Link doit utiliser un sous-réseau qui ne contient pas d’applications Application Gateway. Vous pouvez déterminer la taille du sous-réseau en fonction du nombre de connexions nécessaires pour votre déploiement. Chaque adresse IP allouée à ce sous-réseau garantit des connexions TCP simultanées de 64 K qui peuvent être établies via Private Link à un point unique dans le temps. Allouez plus d’adresses IP pour autoriser davantage de connexions via Private Link. Par exemple : n * 64K, où n est le nombre d’adresses IP à provisionner.

Remarque

Le nombre maximal d’adresses IP par configuration de liaison privée est de huit. Seule l’allocation dynamique est prise en charge.

Effectuez les étapes suivantes pour créer un sous-réseau :

Ajouter, modifier ou supprimer un sous-réseau de réseau virtuel

Configurer une liaison privée

La configuration de liaison privée définit l’infrastructure utilisée par Application Gateway pour activer les connexions à partir de points de terminaison privés. Lors de la création de la configuration Private Link, assurez-vous qu’un écouteur utilise activement la configuration IP front-end respectée. Effectuez les étapes suivantes pour créer la configuration Private Link :

1. Accédez au Portail Azure.

2. Recherchez et sélectionnez Application Gateways.

3. Sélectionnez le nom de la passerelle d’application pour laquelle vous souhaitez activer la liaison privée.

4. Sélectionnez Liaison privée.

5. Configurez les éléments suivants :

   • Nom : nom de la configuration de liaison privée.
   • Sous-réseau de liaison privée : origine des adresses IP de sous-réseau utilisées.
   • Configuration d’adresse IP frontale : adresse IP frontale vers laquelle cette liaison privée doit transférer le trafic sur Application Gateway.
   • Paramètres d’adresse IP privée : spécifiez au moins une adresse IP

6. Sélectionnez Ajouter.

7. Dans le panneau des propriétés de Application Gateway, notez l’ID de ressource, car vous en aurez besoin si vous configurez un point de terminaison privé dans un autre tenant Microsoft Entra.

Configurer un point de terminaison privé

Un point de terminaison privé est une interface réseau qui utilise une adresse IP privée du réseau virtuel où sont les clients souhaitant se connecter à votre Application Gateway. Chacun des clients utilise l’adresse IP privée du point de terminaison privé pour acheminer le trafic vers Application Gateway. Pour créer un point de terminaison privé, effectuez les étapes suivantes :

1. Sélectionnez l’onglet Connexions de point de terminaison privé.
2. Sélectionnez Créer.
3. Sous l’onglet Informations de base, définissez un groupe de ressources, un nom et une région pour le point de terminaison privé. Cliquez sur Suivant.
4. Sous l’onglet Ressource, sélectionnez Suivant.
5. Sous l’onglet Réseau virtuel, configurez un réseau virtuel et un sous-réseau dans lesquels l’interface réseau du point de terminaison privé doit être provisionnée. Définissez si le point de terminaison privé doit avoir une adresse IP dynamique ou statique. Cliquez sur Suivant.
6. Sous l’onglet Étiquettes, configurez éventuellement les étiquettes de ressource. Cliquez sur Suivant.
7. Sélectionnez Create (Créer).

Remarque

Si la ressource de configuration d’adresse IP publique ou privée est manquante quand vous tentez de sélectionner une sous-ressource cible sous l’onglet Ressource à l’étape de création du point de terminaison privé, vérifiez qu’un écouteur utilise activement la configuration d’adresse IP frontale appliquée. Les configurations d’adresses IP front-end sans écouteur associé ne sont pas affichées comme des sous-ressources cibles.

Remarque

Si vous provisionnez un point de terminaison privé à partir d’un autre locataire, vous devez utiliser l’ID de ressource Azure Application Gateway, ainsi que le nom de la configuration IP front-end en tant que sous-ressource cible. Par exemple, si j’avais une adresse IP privée associée au Application Gateway et que le nom répertorié dans configuration d’adresse IP front-end du portail pour l’adresse IP privée est PrivateFrontendIp, la valeur de la sous-ressource cible serait : PrivateFrontendIp.

Remarque

Si vous devez déplacer un point de terminaison privé vers un autre abonnement, vous devez d’abord supprimer la connexion de point de terminaison privé existante entre Azure Private Link et Point de terminaison privé. Une fois cette opération terminée, vous devez recréer une connexion de Point de terminaison privé dans le nouvel abonnement pour établir une connexion entre Azure Private Link et Point de terminaison privé.

Azure PowerShell

Pour configurer Private Link sur une passerelle Application Gateway existante en utilisant Azure PowerShell, utilisez les commandes suivantes :

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-PSH'
    ResourceGroupName = 'AppGW-PL-PSH-RG'
}
$vnet = Get-AzVirtualNetwork @net

($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}).PrivateLinkServiceNetworkPolicies = "Disabled"

$vnet | Set-AzVirtualNetwork

# Get Application Gateway Frontend IP Name
$agw = Get-AzApplicationGateway -Name AppGW-PL-PSH -ResourceGroupName AppGW-PL-PSH-RG
# List the names
$agw.FrontendIPConfigurations | Select Name

# Add a new Private Link configuration and associate it with an existing Frontend IP
$PrivateLinkIpConfiguration = New-AzApplicationGatewayPrivateLinkIpConfiguration `
                            -Name "ipConfig01" `
                            -Subnet ($vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'AppGW-PL-Subnet'}) `
                            -Primary

# Add the Private Link configuration to the gateway configuration
Add-AzApplicationGatewayPrivateLinkConfiguration `
                            -ApplicationGateway $agw `
                            -Name "privateLinkConfig01" `
                            -IpConfiguration $PrivateLinkIpConfiguration

# Associate private link configuration to Frontend IP
$agwPip = ($agw | Select -ExpandProperty FrontendIpConfigurations| Where-Object {$_.Name -eq 'appGwPublicFrontendIp'}).PublicIPAddress.Id
$privateLinkConfiguration = ($agw | Select -ExpandProperty PrivateLinkConfigurations | Where-Object {$_.Name -eq 'privateLinkConfig01'}).Id
Set-AzApplicationGatewayFrontendIPConfig -ApplicationGateway $agw -Name "appGwPublicFrontendIp" -PublicIPAddressId $agwPip -PrivateLinkConfigurationId $privateLinkConfiguration

# Apply the change to the gateway
Set-AzApplicationGateway -ApplicationGateway $agw

# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
$net =@{
    Name = 'AppGW-PL-Endpoint-PSH-VNET'
    ResourceGroupName = 'AppGW-PL-Endpoint-PSH-RG'
}
$vnet_plendpoint = Get-AzVirtualNetwork @net

($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}).PrivateEndpointNetworkPolicies = "Disabled"

$vnet_plendpoint | Set-AzVirtualNetwork

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "AppGW-PL-Connection" -PrivateLinkServiceId $agw.Id -GroupID "appGwPublicFrontendIp"

## Create private endpoint
New-AzPrivateEndpoint -Name "AppGWPrivateEndpoint" -ResourceGroupName $vnet_plendpoint.ResourceGroupName -Location $vnet_plendpoint.Location -Subnet ($vnet_plendpoint | Select -ExpandProperty subnets | Where-Object {$_.Name -eq 'MySubnet'}) -PrivateLinkServiceConnection $privateEndpointConnection

Voici une liste de toutes les références Azure PowerShell pour la configuration de Private Link sur Application Gateway :

• Get-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkConfiguration
• New-AzApplicationGatewayPrivateLinkIpConfiguration
• Add-AzApplicationGatewayPrivateLinkConfiguration
• Remove-AzApplicationGatewayPrivateLinkConfiguration
• Set-AzApplicationGatewayPrivateLinkConfiguration

Azure CLI

Pour configurer Private Link sur une passerelle Application Gateway existante en utilisant Azure CLI, utilisez les commandes suivantes :

# Disable Private Link Service Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name AppGW-PL-Subnet \
				--vnet-name AppGW-PL-CLI-VNET \
				--resource-group AppGW-PL-CLI-RG \
				--disable-private-link-service-network-policies true

# Get Application Gateway Frontend IP Name
az network application-gateway frontend-ip list \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Add a new Private Link configuration and associate it with an existing Frontend IP
az network application-gateway private-link add \
							--frontend-ip appGwPublicFrontendIp \
							--name privateLinkConfig01 \
							--subnet /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/virtualNetworks/AppGW-PL-CLI-VNET/subnets/AppGW-PL-Subnet \
							--gateway-name AppGW-PL-CLI \
							--resource-group AppGW-PL-CLI-RG

# Get Private Link resource ID
az network application-gateway private-link list \
				--gateway-name AppGW-PL-CLI \
				--resource-group AppGW-PL-CLI-RG



# Disable Private Endpoint Network Policies
# https://learn.microsoft.com/azure/private-link/disable-private-endpoint-network-policy
az network vnet subnet update \
				--name MySubnet \
				--vnet-name AppGW-PL-Endpoint-CLI-VNET \
				--resource-group AppGW-PL-Endpoint-CLI-RG \
				--disable-private-endpoint-network-policies true

# Create Private Link Endpoint - Group ID is the same as the frontend IP configuration
az network private-endpoint create \
	--name AppGWPrivateEndpoint \
	--resource-group AppGW-PL-Endpoint-CLI-RG \
	--vnet-name AppGW-PL-Endpoint-CLI-VNET \
	--subnet MySubnet \
	--group-id appGwPublicFrontendIp \
	--private-connection-resource-id /subscriptions/XXXXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXX/resourceGroups/AppGW-PL-CLI-RG/providers/Microsoft.Network/applicationGateways/AppGW-PL-CLI \
	--connection-name AppGW-PL-Connection

Vous trouverez ici une liste de toutes les références Azure CLI pour la configuration de Private Link sur Application Gateway : Azure CLI – Private Link

Étapes suivantes

• En savoir plus sur Azure Private Link : Présentation d’Azure Private Link.