Configurer l’accès privé

Dans ce guide, vous allez apprendre à désactiver l’accès public à votre espace de travail Azure Managed Grafana et à configurer des points de terminaison privés. La configuration de points de terminaison privés dans Azure Managed Grafana augmente la sécurité en limitant le trafic entrant uniquement à un réseau spécifique.

Prérequis

• Compte Azure avec un abonnement actif. Créez un compte gratuitement.
• Une instance Azure Managed Grafana existante dans le niveau Standard. Si vous ne l’avez pas déjà fait, créez-en un.

Désactiver l’accès public à un espace de travail

L’accès public est activé par défaut lorsque vous créez un espace de travail Azure Grafana. La désactivation de l’accès public empêche tout trafic d’accéder à la ressource, sauf si vous passez par un point de terminaison privé.

Remarque

Lorsque l’accès privé est activé, les graphiques ping utilisant la fonctionnalité Épingler à Grafana ne fonctionneront plus, car le portail Azure ne peut plus accéder à un espace de travail Azure Managed Grafana sur une adresse IP privée.

Portail

1. Accédez à votre espace de travail Azure Managed Grafana dans le portail Azure.

2. Dans le menu de gauche, sous Paramètres, sélectionnez Mise en réseau.

3. Sous Accès public, sélectionnez Désactivé pour désactiver l’accès public au espace de travail Azure Managed Grafana et autoriser uniquement l’accès via des points de terminaison privés. Si vous aviez déjà un accès public désactivé et que vous souhaitiez activer l’accès public à votre espace de travail Azure Managed Grafana, vous devez sélectionner Activé.

4. Sélectionnez Enregistrer.

   

Azure CLI

Dans l’interface CLI, exécutez la commande az grafana update et remplacez les espaces réservés <grafana-workspace> et <resource-group> par vos propres informations :

az grafana update --name <grafana-workspace> ---resource-group <resource-group> --public-network-access disabled

Créer un point de terminaison privé

Une fois que vous avez désactivé l’accès public, configurez un point de terminaison privé avec Azure Private Link. Les points de terminaison privés autorisent l’accès à votre espace de travail Azure Managed Grafana à l’aide d’une adresse IP privée à partir d’un réseau virtuel.

Portail

1. Dans Mise en réseau, sélectionnez l’onglet Accès privé, puis Ajouter pour commencer à configurer un nouveau point de terminaison privé.

   

2. Renseignez l’onglet Informations de base avec les informations suivantes :

   Paramètre	Description	Exemple
   Abonnement	Sélectionnez un abonnement Azure. Votre point de terminaison privé doit être déployé dans le même abonnement que le réseau virtuel. Vous allez sélectionner un réseau virtuel plus loin dans ce guide pratique.	MyAzureSubscription
   Groupe de ressources	Sélectionnez un groupe de ressources ou créez-en un.	MyResourceGroup
   Nom	Entrez un nom pour le nouveau point de terminaison privé pour votre espace de travail Azure Managed Grafana.	MyPrivateEndpoint
   Nom de l'interface réseau	Ce champ est rempli automatiquement. Modifiez éventuellement le nom de l’interface réseau.	MyPrivateEndpoint-nic
   Région	Sélectionnez une région. Le point de terminaison privé doit être déployé dans la même région que le réseau virtuel.	(US) USA Centre-Ouest

   

3. Sélectionnez Suivant : Ressource >. Private Link offre des options pour créer des points de terminaison privés pour différents types de ressources Azure. L’espace de travail Azure Managed Grafana actuel est automatiquement renseigné dans le champ Ressource.

   1. Le type de ressource Microsoft.Dashboard/grafana et le sous-ressource cible grafana indiquent que vous créez un point de terminaison pour un espace de travail Azure Managed Grafana.

   2. Le nom de votre espace de travail est répertorié sous Ressource.

      

4. Sélectionnez Suivant : réseau virtuel >.

   1. Sélectionnez un réseau virtuel existant sur lequel déployer le point de terminaison privé. Si vous n’en avez pas, créez un réseau virtuel.

   2. Sélectionnez un sous-réseau dans la liste.

   3. La Stratégie réseau pour les points de terminaison privés est désactivée par défaut. Si vous le souhaitez, sélectionnez Modifier pour ajouter un groupe de sécurité réseau ou une stratégie de table de routage. Cette modification affecte tous les points de terminaison privés associés au sous-réseau sélectionné.

   4. Sous Configuration d’adresse IP privée, sélectionnez l’option permettant d’allouer dynamiquement des adresses IP. Pour plus d’informations, reportez-vous aux adresses IP privées.

   5. Si vous le souhaitez, vous pouvez sélectionner ou créer un groupe de sécurité d’application. Les groupes de sécurité d’application vous permettent de regrouper des machines virtuelles et de définir des stratégies de sécurité réseau basées sur ces groupes.

      

5. Sélectionnez Suivant : DNS > pour configurer un enregistrement DNS. Si vous ne souhaitez pas apporter de modifications aux paramètres par défaut, vous pouvez passer à l’onglet suivant.

   1. Sélectionnez Oui pour Intégrer avec une zone DNS privée afin d’intégrer votre point de terminaison privé avec une zone DNS privée. Vous pouvez également utiliser vos propres serveurs DNS ou créer des enregistrements DNS en utilisant es fichiers hôtes sur vos machines virtuelles.

   2. Un abonnement et un groupe de ressources pour votre zone DNS privée sont présélectionnés. Vous pouvez les modifier si nécessaire.

   Pour en savoir plus sur la configuration DNS, accédez à Résolution de noms pour les ressources dans les réseaux virtuels Azure et Configuration DNS pour les points de terminaison privés. Les valeurs de zone DNS privée Azure Private Endpoint pour Azure Managed Grafana sont répertoriées dans la zone DNS des services Azure.

   

6. Sélectionnez Suivant : Étiquettes > et éventuellement créer des étiquettes. Les étiquettes sont des paires nom/valeur qui vous permettent de catégoriser les ressources et d’afficher une facturation centralisée en appliquant la même étiquette à plusieurs ressources et groupes de ressources.

7. Sélectionnez Suivant : passez en revue + créez > pour passer en revue les informations relatives à votre espace de travail Azure Managed Grafana, au point de terminaison privé, au réseau virtuel et au DNS. Vous pouvez également sélectionner Télécharger un modèle pour l’automatisation afin de réutiliser des données JSON à partir de ce formulaire ultérieurement.

8. Sélectionnez Créer.

Une fois le déploiement terminé, vous recevez une notification indiquant que votre point de terminaison a été créé. S’il est approuvé automatiquement, vous pouvez commencer à accéder à votre espace de travail en privé. Sinon, vous devrez attendre l’approbation.

Azure CLI

1. Pour configurer votre point de terminaison privé, vous avez besoin d’un réseau virtuel. Si vous n’en avez pas déjà un, créez un réseau virtuel avec la commande az network vnet create. Remplacez les textes d’espace réservé <vnet>, <resource-group>, <subnet> et <vnet-location> par le nom de votre nouveau réseau virtuel, du groupe de ressources et du nom et de l’emplacement du réseau virtuel.

   az network vnet create --name <vnet> --resource-group <resource-group> --subnet-name <subnet> --location <vnet-location>
   

   Espace réservé	Description	Exemple
   <vnet>	Entrer un nom pour votre réseau virtuel. Un réseau virtuel permet à des ressources Azure de communiquer en privé entre elles et avec Internet.	MyVNet
   <resource-group>	Entrez le nom d’un groupe de ressources existant pour votre réseau virtuel.	MyResourceGroup
   <subnet>	Entrez un nom pour votre nouveau sous-réseau. Un sous-réseau est un réseau au sein d’un réseau. C’est là que l’adresse IP privée est affectée.	MySubnet
   <vnet-location>	Entrez une région Azure. Le réseau virtuel doit se trouver dans la même région que le point de terminaison privé.	centralus

2. Exécutez la commande az grafana show pour récupérer les propriétés de l’espace de travail Azure Managed Grafana, pour laquelle vous souhaitez configurer l’accès privé. Remplacez l’espace réservé <grafana-workspace> par le nom de votre espace de travail.

   az grafana show --name <grafana-workspace>
   

   Cette commande génère une sortie avec des informations sur votre espace de travail Azure Managed Grafana. Notez la valeur id. Par exemple : /subscriptions/123/resourceGroups/MyResourceGroup/providers/Microsoft.Dashboard/grafana/my-azure-managed-grafana.

3. Exécutez la commande az network private-endpoint create pour créer un point de terminaison privé pour votre espace de travail Azure Managed Grafana. Remplacez le texte d’espace réservé <resource-group>, <private-endpoint>, <vnet>, <private-connection-resource-id>, <connection-name>, et <location> par vos propres informations.

   az network private-endpoint create --resource-group <resource-group> --name <private-endpoint> --vnet-name <vnet> --subnet Default --private-connection-resource-id <private-connection-resource-id> --connection-name <connection-name> --location <location> --group-id grafana
   

   Espace réservé	Description	Exemple
   <resource-group>	Entrez le nom d’un groupe de ressources existant pour votre point de terminaison privé.	MyResourceGroup
   <private-endpoint>	Entrez un nom pour votre point de terminaison privé.	MyPrivateEndpoint
   <vnet>	Entrez le nom d'un réseau virtuel existant.	Myvnet
   <private-connection-resource-id>	Entrez l’ID de ressource de connexion privée de votre espace de travail Azure Managed Grafana. C’est l’ID que vous avez enregistré à partir de la sortie de l’étape précédente.	/subscriptions/123/resourceGroups/MyResourceGroup/providers/Microsoft.Dashboard/grafana/my-azure-managed-grafana
   <connection-name>	Entrez un nom de connexion.	MyConnection
   <location>	Entrez une région Azure. Le point de terminaison privé doit être déployé dans la même région que le réseau virtuel.	centralus

Gérer une connexion à liaison privée

Portail

Accédez à Mise en réseau>Accès privé dans votre espace de travail Azure Managed Grafana pour accéder aux points de terminaison privés liés à votre espace de travail.

1. Vérifiez l’état de connexion de votre connexion de liaison privée. Quand vous créez un point de terminaison privé, la connexion doit être approuvée. Si la ressource pour laquelle vous créez un point de terminaison privé se trouve dans votre répertoire et que vous avez les autorisations suffisantes, la demande de connexion sera automatiquement approuvée. Sinon, vous devez attendre que le propriétaire de cette ressource approuve votre demande de connexion. Pour plus d’informations sur les modèles d’approbation de connexion, accédez à Gérer les points de terminaison privés Azure.

2. Pour approuver manuellement, rejeter ou supprimer une connexion, cochez la case en regard du point de terminaison que vous souhaitez modifier et sélectionnez un élément d’action dans le menu supérieur.

3. Sélectionnez le nom du point de terminaison privé pour ouvrir la ressource de point de terminaison privé et accédez à plus d’informations ou pour modifier le point de terminaison privé.

   

Azure CLI

Passer en revue les détails des connexions de point de terminaison privé

Exécutez la commande liste az network private-endpoint-connection pour passer en revue toutes les connexions de point de terminaison privé liées à votre espace de travail Azure Managed Grafana et vérifier leur état de connexion. Remplacez les espaces réservés <resource-group> et <grafana-workspace> par le nom du groupe de ressources et de l’espace de travail Azure Managed Grafana.

az network private-endpoint-connection list --resource-group <resource-group> --name <grafana-workspace> --type Microsoft.Dashboard/grafana

Si vous le souhaitez, pour obtenir les détails d’un point de terminaison privé spécifique, utilisez la commande az network private-endpoint-connection-connection show. Remplacez les textes d’espace réservé <resource-group> et <grafana-workspace> par le nom du groupe de ressources et le nom de l’espace de travail Azure Managed Grafana.

az network private-endpoint-connection show --resource-group <resource-group> --name <grafana-workspace> --type Microsoft.Dashboard/grafana

Obtenir l’approbation de la connexion

Quand vous créez un point de terminaison privé, la connexion doit être approuvée. Si la ressource pour laquelle vous créez un point de terminaison privé se trouve dans votre répertoire et que vous avez les autorisations suffisantes, la demande de connexion sera automatiquement approuvée. Sinon, vous devez attendre que le propriétaire de cette ressource approuve votre demande de connexion.

Utilisez la commande az network private-endpoint-connection approve pour approuver une connexion de point de terminaison privé. Remplacez les textes d’espace réservé <resource-group>, <private-endpoint> et <grafana-workspace> par le nom du groupe de ressources, le nom du point de terminaison privé et le nom de la ressource Azure Managed Grafana.

az network private-endpoint-connection approve --resource-group <resource-group> --name <private-endpoint> --type Microsoft.Dashboard/grafana --resource-name <grafana-workspace>

Pour plus d’informations sur les modèles d’approbation de connexion, accédez à Gérer les points de terminaison privés Azure.

Supprime une connexion de point de terminaison privé

Utilisez la commande az network private-endpoint-connection delete pour supprimer une connexion de point de terminaison privé. Remplacez les textes d’espace réservé <resource-group> et <private-endpoint> par le nom du groupe de ressources et le nom du point de terminaison privé.

az network private-endpoint-connection delete --resource-group <resource-group> --name <private-endpoint>

Pour plus de commandes CLI, accédez à az network private-endpoint-connection

Si vous rencontrez des problèmes avec un point de terminaison privé, consultez le guide suivant : Résoudre les problèmes de connectivité de point de terminaison privé Azure.

Étapes suivantes

Dans ce guide pratique, vous avez appris à configurer l’accès privé de vos utilisateurs à un espace de travail Azure Managed Grafana. Pour savoir comment configurer l’accès privé entre un espace de travail Grafana managé et une source de données, consultez Se connecter à une source de données en privé.