Conexión de Azure Front Door Premium a un sitio web estático de almacenamiento con Private Link

Se aplica a: ✔️ Front Door Premium

En este artículo se muestra cómo configurar el nivel Premium de Azure Front Door para conectarse al sitio web estático de almacenamiento de forma privada mediante el servicio Azure Private Link.

Prerrequisitos

• Una cuenta de Azure con una suscripción activa. También puede crear una cuenta de forma gratuita.

• Un perfil de Azure Front Door Premium con un grupo de origen. Para obtener más información, consulte Crear un Azure Front Door.

• Un Enlace Privado. Para obtener más información, consulte Creación de un servicio Private Link.

• El sitio web estático de almacenamiento está habilitado en la cuenta de almacenamiento. Obtenga información sobre cómo habilitar el sitio web estático.

• Inicie sesión en Azure Portal con su cuenta de Azure.

• Un perfil de Azure Front Door Premium con un grupo de origen. Para obtener más información, consulte Crear un Azure Front Door.

• Un Enlace Privado. Para obtener más información, consulte Creación de un servicio Private Link.

• El sitio web estático de almacenamiento está habilitado en la cuenta de almacenamiento. Obtenga información sobre cómo habilitar el sitio web estático.

• Azure Cloud Shell o la CLI de Azure.

  Los pasos de este artículo ejecutarán los comandos de la CLI de Azure de forma interactiva en Azure Cloud Shell. Para ejecutar los comandos en Cloud Shell, seleccione Abrir Cloud Shell en la esquina superior derecha de un bloque de código. Seleccione Copiar para copiar el código y péguelo en Cloud Shell para ejecutarlo. También podrá ejecutar Cloud Shell desde Azure Portal.

  También puede instalar la CLI de Azure localmente para ejecutar los comandos. Si ejecuta la CLI de Azure localmente, inicie sesión en Azure con el comando az login.

Habilitación de Private Link en un sitio web estático de almacenamiento

En esta sección, asignará el servicio Private Link a un punto de conexión privado creado en una red privada de Azure Front Door.

1. Inicie sesión en Azure Portal.

2. En el perfil de Azure Front Door Prémium, en Settings (Configurción), seleccione Origin groups (Grupos de origen).

3. Seleccione el grupo de orígenes que contiene el origen del sitio web estático de almacenamiento para el que quiere activar Private Link.

4. Seleccione + Añadir un origen para agregar un nuevo origen de sitio web estático de almacenamiento o seleccione de la lista un origen de sitio web estático de almacenamiento creado previamente.

   

5. En la tabla siguiente se incluye información sobre los valores que se deben seleccionar en los campos respectivos al habilitar un vínculo privado con Azure Front Door. Seleccione o escriba los siguientes valores para configurar el sitio web estático de almacenamiento al que quiere que Azure Front Door Premium se conecte de forma privada.

   Configuración	Valor
   Nombre	Escriba un nombre para identificar este origen de sitio web estático de almacenamiento.
   Tipo de origen	Almacenamiento (sitio web estático)
   Nombre de host	Seleccione el host en la lista desplegable que desea como origen.
   Encabezado del host de origen	Puede personalizar el encabezado de host del origen o dejarlo como predeterminado.
   Puerto HTTP	80 (valor predeterminado)
   Puerto HTTPS	443 (predeterminado)
   Prioridad	Un origen diferente puede tener prioridades diferentes para proporcionar orígenes principales, secundarios y de copia de seguridad.
   Peso	1000 (valor predeterminado). Asigne pesos a su origen diferente cuando desee distribuir el tráfico.
   Región	Seleccione la región que sea la misma o la más cercana a su origen.
   Target sub resource (Subrecurso de destino)	El tipo de subrecurso para el recurso seleccionado anteriormente al que puede acceder su punto de conexión privado. Puede seleccionar web o web_secondary.
   Mensaje de solicitud	Mensaje personalizado para ver al aprobar el punto de conexión privado.

6. Luego, seleccione Add (Agregar) para guardar la configuración. Después, seleccione Actualizar para guardar los cambios.

Aprobación de la conexión del punto de conexión privado desde la cuenta de almacenamiento

1. Vaya a la cuenta de almacenamiento que quiere conectar a Azure Front Door Premium de forma privada. En Configuración, haga clic en Redes.

2. En Redes, seleccione Conexiones de punto de conexión privado.

3. Seleccione la solicitud de punto de conexión privado pendiente de Azure Front Door Prémium y elija Aprobar.

   

4. Una vez aprobada, puede ver que el estado de conexión del punto de conexión privado es Aprobado.

Creación de una conexión de punto de conexión privado para web_secondary

Al crear una conexión de punto de conexión privado al subrecurso secundario del sitio web estático de almacenamiento, debe agregar un sufijo -secondary al encabezado de host de origen. Por ejemplo, si el encabezado de host de origen es contoso.z13.web.core.windows.net, debe cambiarlo a contoso-secondary.z13.web.core.windows.net.

Una vez agregado el origen y aprobada la conexión del punto de conexión privado, puede probar la conexión de vínculo privado al sitio web estático de almacenamiento.

Habilitación de Private Link en un sitio web estático de almacenamiento en Azure Front Door Premium

1. Ejecute az afd origin create para crear un nuevo origen de Azure Front Door. Escriba los siguientes valores para configurar el sitio web estático de almacenamiento al que quiere que Azure Front Door Premium se conecte de forma privada. Tenga en cuenta que private-link-location debe estar en una de las regiones disponibles y private-link-sub-resource-type debe ser web.

az afd origin create --enabled-state Enabled \
                     --resource-group testRG \
                     --origin-group-name default-origin-group \
                     --origin-name pvtStaticSite \
                     --profile-name testAFD \
                     --host-name example.z13.web.core.windows.net\
                     --origin-host-header example.z13.web.core.windows.net\
                     --http-port 80 \
                     --https-port 443 \
                     --priority 1 \
                     --weight 500 \
                     --enable-private-link true \
                     --private-link-location EastUS \
                     --private-link-request-message 'AFD Storage static website origin Private Link request.' \
                     --private-link-resource /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/testRG/providers/Microsoft.Storage/storageAccounts/testingafdpl \
                     --private-link-sub-resource-type web

Aprobación de la conexión del punto de conexión privado desde la cuenta de almacenamiento

1. Ejecute az network private-endpoint-connection list para enumerar las conexiones de punto de conexión privado de la cuenta de almacenamiento. Anote el "Id. de recurso" de la conexión de punto de conexión privado disponible en la cuenta de almacenamiento, en la primera línea de la salida.

   az network private-endpoint-connection list -g testRG -n testingafdpl --type Microsoft.Storage/storageAccounts
   

2. Ejecute az network private-endpoint-connection approve para aprobar la conexión del punto de conexión privado.

   az network private-endpoint-connection approve --id /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/testRG/providers/Microsoft.Storage/storageAccounts/testingafdpl/privateEndpointConnections/testingafdpl.00000000-0000-0000-0000-000000000000
   

Creación de una conexión de punto de conexión privado para Web_Secondary

Al crear una conexión de punto de conexión privado al subrecurso secundario del sitio web estático de almacenamiento, debe agregar un sufijo -secondary al encabezado de host de origen. Por ejemplo, si el encabezado de host de origen es example.z13.web.core.windows.net, debe cambiarlo a example-secondary.z13.web.core.windows.net.

Una vez agregado el origen y aprobada la conexión del punto de conexión privado, puede probar la conexión de vínculo privado al sitio web estático de almacenamiento.

Errores comunes que evitar

A continuación se muestran errores comunes al configurar un origen con Azure Private Link habilitado:

• Adición del origen con Azure Private Link habilitado a un grupo de origen existente que contiene orígenes públicos. Azure Front Door no permite mezclar orígenes públicos y privados en el mismo grupo de origen.

Paso siguiente

Servicio Private Link con cuenta de almacenamiento