Configurer des points de terminaison privés pour Device Update pour les comptes IoT Hub

Vous pouvez utiliser des points de terminaison privés pour autoriser le trafic directement de votre réseau virtuel à votre compte via une liaison privée, sans passer par l’Internet public. Le point de terminaison privé utilise une adresse IP de l’espace d’adressage du réseau virtuel pour votre compte. Pour plus d’informations conceptuelles, consultez Sécurité du réseau.

Cet article décrit comment configurer des points de terminaison privés pour les comptes.

Vous pouvez utiliser le portail Azure ou Azure CLI afin de créer un point de terminaison privé pour un compte.

Prérequis

Azure portal

Aucune condition préalable pour le portail Azure.

Azure CLI

Un environnement Azure CLI :

• Utilisez l’environnement Bash dans Azure Cloud Shell.

  

• Ou, si vous préférez exécuter les commandes de référence CLI localement, installez l’interface Azure CLI

  • Connectez-vous à l’interface Azure CLI à l’aide de la commande az login.

  • Exécutez az version pour rechercher la version et les bibliothèques dépendantes installées. Pour effectuer une mise à niveau vers la dernière version, exécutez az upgrade.

  • Lorsque vous y êtes invité, installez les extensions Azure CLI lors de la première utilisation. Les commandes de cet article utilisent l’extension CLI azure-iot. Exécutez az extension update --name azure-iot pour vous assurer que vous disposez de la version la plus récente de l’extension.

Configurer des points de terminaison privés à partir du compte Device Update

Dans le Portail Azure, vous pouvez créer un point de terminaison privé à partir du compte Device Update. Ces connexions de point de terminaison privé sont approuvées automatiquement et n’ont pas besoin des étapes supplémentaires de révision et d’approbation décrites dans le reste de cet article.

1. Connectez-vous au Portail Azure et accédez à votre compte ou domaine.

2. Basculez vers l’onglet Mise en réseau de votre page de compte. Si vous souhaitez limiter l’accès au point de terminaison privé uniquement, désactivez l’accès au réseau public.

3. Passez à l’onglet Accès privé, puis sélectionnez +Ajouter dans la barre d’outils.

   

4. Dans la page Informations de base, fournissez les informations suivantes pour votre point de terminaison privé :

   • Abonnement : abonnement Azure dans lequel vous voulez créer le point de terminaison privé.

   • Groupe de ressources : groupe de ressources existant ou nouveau pour le point de terminaison privé.

   • Nom : nom du point de terminaison. Cette valeur est utilisée pour générer automatiquement le Nom de l’interface réseau.

   • Région : région Azure pour le point de terminaison. Votre point de terminaison privé doit se trouver dans la même région que celle de votre réseau virtuel, qui peut différer de celle du compte Device Update.

     

5. La page Ressource est renseignée automatiquement

   

6. Dans la page Réseau virtuel, sélectionnez le sous-réseau et le réseau virtuel dans lesquels vous voulez déployer le point de terminaison privé.

   • Réseau virtuel : seuls les réseaux virtuels dans l’abonnement et l’emplacement sélectionnés sont répertoriés dans la liste déroulante.

   • Sous-réseau : sélectionnez un sous-réseau dans le réseau virtuel que vous avez sélectionné.

     

7. Dans la page DNS, utilisez les valeurs préremplies, sauf si vous utilisez votre propre DNS personnalisé.

   

8. Dans la page Étiquettes, créez les étiquettes (noms et valeurs) à associer à la ressource de point de terminaison privé.

9. Dans la page Vérifier + créer, examinez tous les paramètres et sélectionnez Créer pour créer le point de terminaison privé.

Configurer des points de terminaison privés à partir du Centre Private Link

Si vous n’avez pas accès au compte Device Update, vous pouvez créer des points de terminaison privés à partir du Centre Private Link. Si l’utilisateur qui crée la connexion n’a pas la possibilité de l’approuver, la connexion est créée dans l’état en attente.

Vous pouvez créer des points de terminaison privés en utilisant le portail Azure ou Azure CLI.

Azure portal

1. Dans le portail Azure, accédez à Centre Private Link>Points de terminaison privés, puis sélectionnez +Créer.

   

2. Dans la page Informations de base, fournissez les informations suivantes pour votre point de terminaison privé :

   • Abonnement : abonnement Azure dans lequel vous voulez créer le point de terminaison privé.
   • Groupe de ressources : groupe de ressources existant ou nouveau pour le point de terminaison privé.
   • Nom : nom du point de terminaison. Cette valeur est utilisée pour générer automatiquement le Nom de l’interface réseau.
   • Région : région Azure pour le point de terminaison. Votre point de terminaison privé doit se trouver dans la même région que celle de votre réseau virtuel, qui peut différer de celle du compte Device Update.

3. Remplissez tous les champs obligatoires sous l’onglet Ressources.

   • Méthode de connexion : sélectionnez Se connecter à une ressource Azure par alias ou ID de ressource.
   • Alias ou ID de ressource : entrez l’ID de ressource du compte Device Update. Vous pouvez récupérer l’ID de ressource d’un compte Device Update à partir du portail Azure en sélectionnant Vue JSON dans la page Vue d’ensemble. Vous pouvez également le récupérer en utilisant la commande az iot device-update account show et en interrogeant la valeur d’ID : az iot du account show -n <account_name> --query id.
   • Sous-ressource cible : la valeur doit être DeviceUpdate.

   

4. Dans la page Réseau virtuel, sélectionnez le sous-réseau et le réseau virtuel dans lesquels vous voulez déployer le point de terminaison privé.

   • Réseau virtuel : seuls les réseaux virtuels dans l’abonnement et l’emplacement sélectionnés sont répertoriés dans la liste déroulante.
   • Sous-réseau : sélectionnez un sous-réseau dans le réseau virtuel que vous avez sélectionné.

5. Dans la page DNS, utilisez les valeurs préremplies, sauf si vous utilisez votre propre DNS personnalisé.

6. Dans la page Étiquettes, créez les étiquettes (noms et valeurs) à associer à la ressource de point de terminaison privé.

7. Dans la page Vérifier + créer, examinez tous les paramètres et sélectionnez Créer pour créer le point de terminaison privé.

Azure CLI

Utilisez la commande az network private-endpoint create pour créer un point de terminaison privé.

Remplacez les espaces réservés suivants par vos propres informations :

• RESOURCE_GROUP_NAME : nom du groupe de ressources.
• PRIVATE_ENDPOINT_NAME : nom du point de terminaison privé.
• PRIVATE_LINK_CONNECTION_NAME : nom de la connexion de service de liaison privée.
• VIRTUAL_NETWORK_NAME : nom d’un réseau virtuel existant associé au sous-réseau.
• SUBNET_NAME : nom ou ID d’un sous-réseau existant. Si vous utilisez un nom de sous-réseau, vous devez également inclure le nom du réseau virtuel. Si vous utilisez un ID de sous-réseau, vous pouvez omettre le paramètre --vnet-name.
• DEVICE_UPDATE_RESOURCE_ID : vous pouvez récupérer l’ID de ressource d’un compte Device Update à partir du portail Azure en sélectionnant Vue JSON dans la page Vue d’ensemble. Vous pouvez également le récupérer en utilisant la commande az iot device-update account show et en interrogeant la valeur d’ID : az iot du account show -n <account_name> --query id.
• LOCATION : nom de la région Azure. Votre point de terminaison privé doit se trouver dans la même région que celle de votre réseau virtuel, qui peut différer de celle du compte Device Update.

az network private-endpoint create \
    --resource-group <RESOURCE_GROUP_NAME> \
    --name <PRIVATE_ENDPOINT_NAME> \
    --connection-name <PRIVATE_LINK_CONNECTION_NAME> \
    --vnet-name <VIRTUAL_NETWORK_NAME> \
    --subnet <SUBNET_NAME> \
    --private-connection-resource-id "<DEVICE_UPDATE_RESOURCE_ID> \
    --location <LOCATION> \
    --group-id DeviceUpdate
    --request-message "Optional message"
    --manual-request

Vous pouvez supprimer un point de terminaison privé en utilisant la commande az network private-endpoint delete.

az network private-endpoint delete --resource-group <RESOURCE_GROUP_NAME> --name <PRIVATE_ENDPOINT_NAME>

Gérer des connexions de liaison privée

Lorsque vous créez un point de terminaison privé en attente d’approbation manuelle, la connexion doit être approuvée avant de pouvoir être utilisée. Si la ressource pour laquelle vous créez un point de terminaison privé se trouve dans votre répertoire, vous pouvez approuver la requête de connexion à condition d’avoir les autorisations nécessaires. Si vous vous connectez à une ressource Azure dans un autre répertoire, vous devez attendre que le propriétaire de cette ressource approuve votre requête de connexion.

Il existe quatre états de provisionnement :

Action de service	État du point de terminaison privé de l’utilisateur du service	Description
None	Pending	La connexion est créée manuellement et est en attente d’approbation du propriétaire de la ressource Private Link.
Approbation	Approved	La connexion a été approuvée automatiquement ou manuellement et est prête à être utilisée.
Rejeter	Rejeté	La connexion a été rejetée par le propriétaire de la ressource Private Link.
Supprimer	Déconnecté	La connexion a été supprimée par le propriétaire de la ressource Private Link, le point de terminaison privé devient donc informatif et doit être supprimé dans le cadre d’un nettoyage.

Azure portal

Examiner une connexion en attente à partir du compte Device Update

1. Dans le portail Azure, accédez au compte Device Update que vous voulez gérer.

2. Sélectionnez l’onglet Mise en réseau.

3. Si une connexion est en attente, celle-ci présente l’état d’approvisionnement En attente.

   

4. Utilisez la case à cocher pour sélectionner la connexion en attente, puis sélectionnez Approuver ou Rejeter.

Examiner une connexion en attente à partir du Centre Private Link

1. À partir du portail Azure, accédez à Centre Private Link>Connexions en attente.

2. Utilisez la case à cocher pour sélectionner la connexion en attente, puis sélectionnez Approuver ou Rejeter.

   

Azure CLI

Utilisez la commande az iot device-update account private-endpoint-connection set pour gérer la connexion de point de terminaison privé.

Remplacez les espaces réservés suivants par vos propres informations :

• ACCOUNT_NAME : nom du compte Device Update.
• PRIVATE_LINK_CONNECTION_NAME : nom de la connexion de service de liaison privée.
• STATUS : Approved ou Rejected.

az iot du account private-endpoint-connection set \
    --name <ACCOUNT_NAME> \
    --connection-name <PRIVATE_LINK_CONNECTION_NAME> \
    --status <STATUS> \
    --desc 'Optional description'

Étapes suivantes

Apprenez-en davantage sur les concepts de la sécurité réseau.