Gérer les points de terminaison privés Azure

Les points de terminaison privés Azure disposent de plusieurs options pour gérer leur configuration et leur déploiement.

Vous pouvez déterminer les valeurs GroupId et MemberName en interrogeant la ressource Azure Private Link. Vous avez besoin des valeurs GroupId et MemberName pour configurer une adresse IP statique pour un point de terminaison privé lors de la création.

Un point de terminaison privé possède deux propriétés personnalisées : une adresse IP statique et un nom d’interface réseau. Ces propriétés doivent être définies lors de la création du point de terminaison privé.

Avec un déploiement de Private Link par un fournisseur de services et un consommateur, un processus d'approbation est en place pour établir la connexion.

Déterminer GroupID et MemberName

Lors de la création d’un point de terminaison privé avec Azure PowerShell et Azure CLI, les valeurs GroupId et MemberName de la ressource de point de terminaison privé peuvent être nécessaires.

• GroupId est la sous-ressource du point de terminaison privé.
• MemberName est le cachet unique de l'adresse IP privée du point de terminaison.

Pour plus d'informations sur les sous-ressources de point de terminaison privées et leurs valeurs, consultez la ressource Azure Private Link.

Pour déterminer les valeurs de GroupId et MemberName pour votre ressource de point de terminaison privé, utilisez les commandes suivantes. MemberName est contenu dans la propriété RequiredMembers.

PowerShell

Une application Web Azure est utilisée comme exemple de ressource de point de terminaison privé. Utilisez Get-AzPrivateLinkResource pour déterminer les valeurs de GroupId et MemberName.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

Vous devriez recevoir un résultat similaire à l’exemple suivant.

Azure CLI

Une application Web Azure est utilisée comme exemple de ressource de point de terminaison privé. Utilisez az network private-link-resource list pour déterminer GroupId et MemberName. Le paramètre --type nécessite l'espace de noms pour la ressource Private Link. Pour l'application Web utilisée dans cet exemple, l'espace de noms est Microsoft.Web/sites. Pour déterminer l’espace de noms de votre ressource Private Link, consultez Configuration de la zone DNS des services Azure.

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Vous devriez recevoir un résultat similaire à l’exemple suivant.

Propriétés personnalisées

Le renommage de l'interface réseau et l'attribution d'adresse IP statique sont des propriétés personnalisées que vous pouvez définir sur un point de terminaison privé lors de la création.

Renommer l'interface réseau

Par défaut, lorsqu’un point de terminaison privé est créé, l’interface réseau associée au point de terminaison privé reçoit un nom aléatoire pour son interface réseau. L’interface réseau doit être nommée lorsque le point de terminaison privé est créé. Le changement de nom de l'interface réseau d'un point de terminaison privé existant n'est pas pris en charge.

Utilisez les commandes suivantes lorsque vous créez un point de terminaison privé pour renommer l’interface réseau.

PowerShell

Pour renommer l'interface réseau lors de la création du point de terminaison privé, utilisez le paramètre -CustomNetworkInterfaceName. L’exemple suivant utilise une commande Azure PowerShell pour créer un point de terminaison privé pour une application Web Azure. Pour plus d'informations, consultez New-AzPrivateEndpoint.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

Azure CLI

Pour renommer l'interface réseau lors de la création du point de terminaison privé, utilisez le paramètre --nic-name. L’exemple suivant utilise une commande Azure PowerShell pour créer un point de terminaison privé pour une application Web Azure. Pour plus d'informations, consultez az network private-endpoint create.

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Adresse IP statique

Par défaut, lorsqu'un point de terminaison privé est créé, l'adresse IP du point de terminaison est automatiquement attribuée. L'adresse IP est attribuée à partir de la plage IP du réseau virtuel configuré pour le point de terminaison privé. Une situation peut survenir lorsqu'une adresse IP statique pour le point de terminaison privé est requise. L'adresse IP statique doit être attribuée lors de la création du point de terminaison privé. La configuration d'une adresse IP statique pour un point de terminaison privé existant n'est actuellement pas prise en charge.

Pour connaître les procédures de configuration d’une adresse IP statique lorsque vous créez un point de terminaison privé, consultez Créer un point de terminaison privé à l’aide d’Azure PowerShell et Créer un point de terminaison privé à l’aide d’Azure CLI.

Connexions de points de terminaison privés

Private Link fonctionne sur un modèle d'approbation dans lequel le consommateur de Private Link peut demander une connexion au fournisseur de services pour consommer le service.

Le fournisseur de services peut alors décider d’autoriser ou non le consommateur à se connecter. Private Link permet aux fournisseurs de services de gérer la connexion du point de terminaison privé sur leurs ressources.

Un consommateur Private Link peut choisir entre deux méthodes d'approbation de connexion :

• Automatique : si le consommateur de services dispose d’autorisations de contrôle d’accès basé sur les rôles (RBAC) Azure sur la ressource du fournisseur de services, le consommateur peut choisir la méthode d’approbation automatique. Lorsque la requête atteint la ressource du fournisseur de services, aucune action n'est requise de la part du fournisseur de services et la connexion est automatiquement approuvée.

• Manuel : si le consommateur de services ne dispose pas d’autorisations RBAC sur la ressource du fournisseur de services, le consommateur peut choisir la méthode d’approbation manuelle. La requête de connexion apparaît sur les ressources de service comme En attente. Le fournisseur de services doit approuver manuellement la requête avant que les connexions puissent être établies.

  Dans les cas manuels, le consommateur de services peut également spécifier un message avec la requête de fournir plus de contexte au fournisseur de services. Le fournisseur de services dispose des options suivantes pour toutes les connexions de points de terminaison privés : Approuver, Rejeter et Supprimer.

Important

Pour approuver les connexions avec un point de terminaison privé qui se trouve dans un abonnement ou un locataire distinct, assurez-vous que l'abonnement ou le locataire du fournisseur est enregistré Microsoft.Network. L'abonnement consommateur ou le locataire doit également avoir le fournisseur de ressources de la ressource de destination enregistré.

Le tableau suivant présente les différentes actions du fournisseur de services et les états de connexion résultants pour les points de terminaison privés. Le fournisseur de services peut modifier l’état de la connexion ultérieurement sans intervention du consommateur. L'action met à jour l'état du point de terminaison côté consommateur.

Action du prestataire de services	État du point de terminaison privé du consommateur de services	Description
Aucun	En attente	La connexion est créée manuellement et est en attente d'approbation par le propriétaire de la ressource Private Link.
Approuver	Approuvé	La connexion est approuvée automatiquement ou manuellement et est prête à être utilisée.
Rejeter	Rejeté	Le propriétaire de la ressource Private Link rejette la connexion.
Supprimer	Déconnecté	Le propriétaire de la ressource Private Link supprime la connexion, ce qui entraîne la déconnexion du point de terminaison privé et sa suppression pour nettoyage.

Gérer les connexions de points de terminaison privés sur les ressources Azure PaaS

Utilisez les étapes suivantes pour gérer une connexion de point de terminaison privé dans le Portail Microsoft Azure.

1. Connectez-vous au portail Azure.

2. Dans la zone de recherche en haut du portail, saisissez Azure Private Link. Dans les résultats de la recherche, sélectionnez Lien privé.

3. Dans le Centre Private Link, sélectionnez Points de terminaison privés ou Services de liens privés.

4. Pour chacun de vos points de terminaison, vous pouvez afficher le nombre de connexions de points de terminaison privés qui lui sont associées. Vous pouvez filtrer les ressources selon vos besoins.

5. Sélectionnez le point de terminaison privé. Sous les connexions répertoriées, sélectionnez la connexion que vous souhaitez gérer.

6. Vous pouvez modifier l’état de la connexion en sélectionnant parmi les options en haut.

Gérer les connexions de points de terminaison privés sur un service Private Link appartenant au client ou au partenaire

Utilisez les commandes PowerShell et Azure CLI suivantes pour gérer les connexions de points de terminaison privés sur les services partenaires Microsoft ou les services appartenant aux clients.

PowerShell

Utilisez les commandes PowerShell suivantes pour gérer les connexions de points de terminaison privés.

Obtenir les états de connexion Azure Private Link

Utilisez Get-AzPrivateEndpointConnection pour obtenir les connexions de point de terminaison privées et leurs états.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

Approuver une connexion de point de terminaison privé

Utilisez Approve-AzPrivateEndpointConnection pour approuver une connexion de point de terminaison privé.

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

Refuser une connexion à un point de terminaison privé

Utilisez Deny-AzPrivateEndpointConnection pour rejeter une connexion de point de terminaison privé.

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

Supprimer une connexion de point de terminaison privé

Utilisez Remove-AzPrivateEndpointConnection pour supprimer une connexion de point de terminaison privé.

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

Azure CLI

Utilisez les commandes Azure CLI suivantes pour gérer les connexions de point de terminaison privées.

Obtenir les états de connexion Azure Private Link

Utilisez az network private-endpoint-connection show pour obtenir les connexions de point de terminaison privé et leurs états.

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Approuver une connexion de point de terminaison privé

Utilisez az network private-endpoint-connection approve pour approuver une connexion de point de terminaison privé.

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

Refuser une connexion à un point de terminaison privé

Utilisez az network private-endpoint-connection reject pour rejeter une connexion de point de terminaison privé.

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

Supprimer une connexion de point de terminaison privé

Utilisez az network private-endpoint-connection delete pour supprimer une connexion de point de terminaison privé.

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Remarque

Les connexions précédemment refusées ne peuvent pas être approuvées. Vous devez supprimer la connexion et en créer une nouvelle.

Étapes suivantes

• En savoir plus sur les points de terminaison privés