Share via


Sécuriser votre origine avec Private Link dans Azure Front Door Premium

Azure Private Link vous permet d’accéder aux services Azure PaaS et aux services hébergés dans Azure sur un point de terminaison privé de votre réseau virtuel. Le trafic entre votre réseau virtuel et le service passe par le réseau principal de Microsoft, éliminant ainsi toute exposition à l’Internet public.

Azure Front Door Premium peut se connecter à votre origine en utilisant Private Link. Votre origine peut être hébergée dans un réseau virtuel ou hébergée en tant que service PaaS comme une application web Azure ou un stockage Azure. Avec Private Link, votre origine n’a besoin d’être accessible publiquement.

Diagramme d’Azure Front Door avec Private Link activé.

Lorsque vous activez Private Link pour votre origine dans Azure Front Door Premium, Front Door crée pour vous un point de terminaison privé à partir d’un réseau privé régional managé Azure Front Door. Vous recevez une demande de point de terminaison privé Azure Front Door sur votre origine qui attend votre approbation.

Important

Vous devez approuver la connexion de point de terminaison privé avant que le trafic ne puisse passer à l’origine de façon privée. Vous pouvez approuver des connexions de point de terminaison privées avec le portail Azure, Azure CLI ou Azure PowerShell. Pour plus d’informations, consultez Gérer une connexion de point de terminaison privé.

Une fois que vous avez activé une origine pour Private Link et approuvé la connexion du point de terminaison privé, quelques minutes peuvent être nécessaires pour établir la connexion. Pendant ce temps, les demandes adressées à l’origine reçoivent un message d’erreur d’Azure Front Door. Le message d’erreur disparaît une fois la connexion établie.

Une fois votre demande approuvée, une adresse IP privée est affectée à partir du réseau virtuel managé Azure Front Door. Le trafic entre votre instance Azure Front Door et votre origine communique en utilisant le lien privé établi sur le réseau principal de Microsoft. Le trafic entrant de votre origine est maintenant sécurisé lorsqu’il arrive dans votre instance Azure Front Door.

Capture d’écran de la case à cocher Activer le service Private Link sur la page de configuration de l’origine.

Association d’un point de terminaison privé à un profil Azure Front Door

Création d’un point de terminaison privé

Dans un profil Azure Front Door unique, si au moins deux origines Private Link activées sont créées avec le même ensemble d’emplacement Private Link, d’ID de ressource et d’ID de groupe, pour toutes ces origines, un seul point de terminaison privé est créé. Les connexions au back-end peuvent être activées à l’aide de ce point de terminaison privé. Cette configuration signifie que vous ne devez approuver le point de terminaison privé qu’une seule fois, car un seul point de terminaison privé est créé. Si vous créez d’autres origines Private Link activées à l’aide du même jeu d’emplacements Private Link, d’ID de ressource et d’ID de groupe, vous n’avez plus besoin d’approuver les points de terminaison privés.

Point de terminaison privé unique

Par exemple, un point de terminaison privé unique est créé pour toutes les origines différentes dans différents groupes d’origines, mais dans le même profil Azure Front Door, comme indiqué dans le tableau ci-dessous :

Diagramme montrant un point de terminaison privé unique créé pour les origines créées dans le même profil Azure Front Door.

Plusieurs points de terminaison privés

Un nouveau point de terminaison privé est créé dans le scénario suivant :

  • Si la région, l’ID de ressource ou l’ID de groupe change :

    Diagramme montrant un point de terminaison privé multiple créé en raison de modifications dans la région et l’ID de ressource pour l’origine.

    Notes

    L’emplacement Private Link et le nom d’hôte ont changé, ce qui a entraîné la création de points de terminaison privés supplémentaires et nécessite une approbation pour chacun d’eux.

  • Lorsque le profil Azure Front Door change :

    Diagramme montrant un point de terminaison privé multiple créé, car l’origine est associée à plusieurs profils Azure Front Door.

    Notes

    L’activation de Private Link pour les origines dans différents profils Front Door crée des points de terminaison privés supplémentaires et nécessite une approbation pour chacun d’eux.

Suppression d’un point de terminaison privé

Lorsqu’un profil Azure Front Door est supprimé, les points de terminaison privés associés au profil sont également supprimés.

Point de terminaison privé unique

Si AFD-Profile-1 est supprimé, le point de terminaison privé PE1 sur toute les origines est également supprimé.

Diagramme montrant que si AFD-Profile-1 est supprimé, alors PE1 pour toutes les origines est supprimé.

Plusieurs points de terminaison privés

  • Si AFD-Profile-1 est supprimé, tous les points de terminaison privés de PE1 à PE4 sont supprimés.

    Diagramme montrant que si AFD-Profile-1 est supprimé, tous les points de terminaison privés de PE1 à PE4 sont supprimés.

  • La suppression d’un profil Front Door n’affecte pas les points de terminaison privés créés pour un autre profil Front Door.

    Diagramme montrant que la suppression du profil Azure Front Door n’affectera pas les points de terminaison privés dans d’autres profils Front Door.

    Par exemple :

    • Si AFD-Profile-2 est supprimé, seul PE5 est supprimé.
    • Si AFD-Profile-3 est supprimé, seul PE6 est supprimé.
    • Si AFD-Profile-4 est supprimé, seul PE7 est supprimé.
    • Si AFD-Profile-5 est supprimé, seul PE8 est supprimé.

Disponibilité des régions

La liaison privée Azure Front Door est disponible dans les régions suivantes :

Amérique Europe Afrique Asie-Pacifique
Brésil Sud France Centre Afrique du Sud Nord Australie Est
Centre du Canada Allemagne Centre-Ouest Inde centrale
USA Centre Europe Nord Japon Est
USA Est Norvège Est Centre de la Corée
USA Est 2 Sud du Royaume-Uni Asie Est
États-Unis - partie centrale méridionale Europe Ouest
USA Ouest 3 Suède Centre
Gouvernement des États-Unis – Arizona
Gouvernement des États-Unis – Texas

Limites

La prise en charge des origines pour la connectivité directe de point de terminaison privé est actuellement limitée aux éléments suivants :

  • Stockage Blob
  • Application web
  • Les équilibreurs de charge internes ou tous les services qui exposent des équilibreurs de charge internes tels que Azure Kubernetes Service, Azure Container Apps ou Azure Red Hat OpenShift
  • Site web statique de stockage

Remarque

Cette fonctionnalité n’est pas prise en charge avec les emplacements et fonctions App Service

La fonctionnalité Azure Front Door Private Link est indépendante de la région, mais pour profiter de la meilleure latence possible, vous devez toujours choisir une région Azure la plus proche de là où vous vous trouvez lorsque vous choisissez d’activer le point de terminaison Azure Front Door Private Link.

Étapes suivantes