Privát végpontok használata Azure Batch-fiókokkal

Alapértelmezés szerint Azure Batch fiókok nyilvános végpontokkal rendelkeznek, és nyilvánosan elérhetők. A Batch szolgáltatás lehetővé teszi privát végpontok létrehozását a Batch-fiókokhoz, így privát hálózati hozzáférést biztosít a Batch szolgáltatáshoz.

A Azure Private Link használatával privát végponton keresztül csatlakozhat egy Azure Batch-fiókhoz. A privát végpont privát IP-címek halmaza a virtuális hálózaton belüli alhálózatban. Ezután korlátozhatja a hozzáférést egy Azure Batch-fiókhoz magánhálózati IP-címeken keresztül.

Private Link lehetővé teszi, hogy a felhasználók egy Azure Batch-fiókot a virtuális hálózaton belülről vagy bármely társított virtuális hálózatról érhessenek el. A Private Link leképezett erőforrások a helyszínen is elérhetők vpn-en vagy Azure ExpressRoute-on keresztüli privát társviszony-létesítésen keresztül. Az automatikus vagy manuális jóváhagyási módszerrel csatlakozhat Private Link konfigurált Azure Batch-fiókhoz.

Ez a cikk a Batch-fiókvégpontok eléréséhez szükséges privát végpontok létrehozásának lépéseit ismerteti.

A Batch-fiókhoz támogatott privát végponti alerőforrások

A Batch-fiók erőforrása két végpontot támogat a privát végpontokkal való hozzáféréshez:

  • Fiókvégpont (alerőforrás: batchAccount): ez a végpont a Batch szolgáltatás REST API -jának (adatsík) elérésére szolgál, például készletek, számítási csomópontok, feladatok, feladatok stb. kezelésére.

  • Csomópontkezelési végpont (alerőforrás: nodeManagement): a Batch-készlet csomópontjai használják a Batch csomópontkezelési szolgáltatás eléréséhez. Ez a végpont csak egyszerűsített számítási csomópont-kommunikáció használatakor alkalmazható. Ez a funkció előzetes verzióban érhető el.

Fontos

A Batch privát végpontjaihoz tartozó alerőforrásokat bemutató ábra.

Azure Portal

Az alábbi lépésekkel hozzon létre privát végpontot a Batch-fiókjával a Azure Portal használatával:

  1. Nyissa meg a Batch-fiókját a Azure Portal.
  2. A Beállítások lapon válassza a Hálózatkezelés lehetőséget, és lépjen a Privát hozzáférés lapra. Ezután válassza a + Privát végpont lehetőséget. A privát végpontkapcsolatok képernyőképe.
  3. Az Alapszintű panelen adja meg vagy válassza ki az előfizetést, az erőforráscsoportot, a privát végpont erőforrásnevét és a régió adatait, majd válassza a Tovább: Erőforrás lehetőséget. Képernyőkép privát végpont létrehozásáról – Alapszintű beállítások panel.
  4. Az Erőforrás panelen állítsa az erőforrás típusátMicrosoft.Batch/batchAccounts értékre. Válassza ki a elérni kívánt Batch-fiókot, válassza ki a cél alerőforrást, majd válassza a Tovább: Konfiguráció lehetőséget. Képernyőkép egy privát végpont létrehozásáról – Erőforrás panel.
  5. A Konfiguráció panelen adja meg vagy válassza ki az alábbi adatokat:
    • Virtuális hálózat esetén válassza ki a virtuális hálózatot.
    • Alhálózatként válassza ki az alhálózatot.
    • Privát IP-konfiguráció esetén válassza ki az alapértelmezett dinamikusan lefoglalt IP-címet.
    • A privát DNS-zónával való integrációhoz válassza az Igen lehetőséget. A privát végponttal való privát kapcsolathoz DNS-rekordra van szükség. Javasoljuk, hogy integrálja a privát végpontot egy privát DNS-zónával. Használhatja saját DNS-kiszolgálóit is, vagy létrehozhat DNS-rekordokat a virtuális gépeken lévő gazdagépfájlok használatával.
    • A saját DNS Zóna beállításnál válassza a privatelink.batch.azure.com lehetőséget. A rendszer automatikusan meghatározza a privát DNS-zónát. Ezt a beállítást nem módosíthatja a Azure Portal használatával.

Fontos

  • Ha meglévő privát végpontokat hozott létre a korábbi privát DNS-zónával privatelink.<region>.batch.azure.com, kövesse a migrálást a meglévő Batch-fiók privát végpontjaival.
  • Ha privát DNS-zónaintegrációt választott, győződjön meg arról, hogy a privát DNS-zóna sikeresen hozzá van kapcsolva a virtuális hálózathoz. Lehetséges, hogy Azure Portal lehetővé teszi egy meglévő privát DNS-zóna kiválasztását, amely esetleg nem kapcsolódik a virtuális hálózathoz, és manuálisan kell hozzáadnia a virtuális hálózati kapcsolatot.
  1. Válassza az Áttekintés + létrehozás lehetőséget, majd várja meg, amíg az Azure ellenőrzi a konfigurációt.
  2. Amikor megjelenik a Megfelelt az ellenőrzésen üzenet, válassza a Létrehozás lehetőséget.

Tipp

A privát végpontot a Private Link Centerből is létrehozhatja Azure Portal, vagy létrehozhat egy új erőforrást a privát végpont keresésével.

A privát végpont használata

A privát végpont kiépítése után a Batch-fiókot ugyanazon a virtuális hálózaton belülről érheti el a privát végpont használatával.

  • A batchAccount privát végpontja: hozzáférhet a Batch-fiók adatsíkhoz a készletek/feladatok/tevékenységek kezeléséhez.

  • A nodeManagement privát végpontja: A Batch-készlet számítási csomópontjai csatlakozhatnak a Batch csomópontkezelő szolgáltatásához, és felügyelhetik azokat.

Fontos

Ha a nyilvános hálózati hozzáférés le van tiltva Batch-fiókkal, a fiókműveleteket (például készleteket, feladatokat) azon a virtuális hálózaton kívül hajtja végre, ahol a privát végpont ki van építve, az "AuthorizationFailure" üzenetet eredményez a Batch-fiókhoz a Azure Portal.

A privát végpont IP-címeinek megtekintése a Azure Portal:

  1. Válassza a Minden erőforrás elemet.
  2. Keresse meg a korábban létrehozott privát végpontot.
  3. A DNS-beállítások és AZ IP-címek megtekintéséhez válassza a DNS-konfiguráció lapot.

Privát végpont DNS-beállításai és IP-címei

DNS-zónák konfigurálása

Használjon privát DNS-zónát azon az alhálózaton belül, ahol létrehozta a privát végpontot. Konfigurálja a végpontokat úgy, hogy minden magánhálózati IP-cím le legyen képezve egy DNS-bejegyzésre.

A privát végpont létrehozásakor integrálhatja azt egy privát DNS-zónával az Azure-ban. Ha inkább egyéni tartományt használ, konfigurálnia kell azt úgy, hogy a privát végpont számára fenntartott összes magánhálózati IP-címhez DNS-rekordokat adjon hozzá.

Migrálás meglévő Privát Batch-fiókvégpontokkal

A Batch-csomópont felügyeleti végpontjának új privát végponti alerőforrás-csomópontkezelésének bevezetésével a Batch-fiók alapértelmezett privát DNS-zónája mostantól egyszerűbb privatelink.<region>.batch.azure.comprivatelink.batch.azure.comlesz. A korábban használt privát DNS-zónával való visszamenőleges kompatibilitás megőrzése érdekében a Batch-fiók bármely jóváhagyott batchAccount privát végponttal való használata esetén a fiókvégpont DNS CNAME-leképezései mindkét zónát tartalmazzák (az előző zóna az első), például:

myaccount.east.batch.azure.com CNAME myaccount.privatelink.east.batch.azure.com
myaccount.privatelink.east.batch.azure.com CNAME myaccount.east.privatelink.batch.azure.com
myaccount.east.privatelink.batch.azure.com CNAME <Batch API public FQDN>

Az előző privát DNS-zóna használatának folytatása

Ha már használta az előző DNS-zónát privatelink.<region>.batch.azure.com a virtuális hálózattal, a meglévő és az új BatchAccount privát végpontokhoz továbbra is azt kell használnia, és nincs szükség beavatkozásra.

Fontos

A korábbi privát DNS-zóna meglévő használata esetén továbbra is használja az újonnan létrehozott privát végpontokkal is. Ne használja az új zónát a DNS-integrációs megoldással, amíg át nem telepíthető az új zónába.

Új batchAccount privát végpont létrehozása DNS-integrációval Azure Portal

Ha manuálisan hoz létre egy új batchAccount privát végpontot Azure Portal használatával, amelyen engedélyezve van az automatikus DNS-integráció, akkor az új privát DNS-zónát privatelink.batch.azure.com fogja használni a DNS-integrációhoz: létrehozza a privát DNS-zónát, csatlakoztatja a virtuális hálózathoz, és konfigurálja a DNS A rekordot a privát végpont zónájában.

Ha azonban a virtuális hálózat már hozzá van kapcsolva az előző privát DNS-zónához privatelink.<region>.batch.azure.com, az megszakítja a kötegfiók DNS-feloldását a virtuális hálózatban, mivel az új privát végpont DNS A rekordja hozzá lesz adva az új zónához, de a DNS-feloldás először az előző zónát ellenőrzi a visszamenőleges kompatibilitás támogatása érdekében.

A problémát az alábbi lehetőségekkel háríthatja el:

  • Ha már nincs szüksége az előző privát DNS-zónára, válassza le a virtuális hálózatról. Nincs szükség további műveletre.

  • Ellenkező esetben az új privát végpont létrehozása után:

    1. győződjön meg arról, hogy az automatikus privát DNS-integráció tartalmaz egy DNS A rekordot az új privát DNS-zónában privatelink.batch.azure.com. Például: myaccount.<region> A <IPv4 address>.

    2. Ugrás az előző privát DNS-zónára privatelink.<region>.batch.azure.com.

    3. Adjon hozzá manuálisan egy DNS CNAME rekordot. Például: myaccount CNAME => myaccount.<region>.privatelink.batch.azure.com.

Fontos

Erre a manuális megoldásra csak akkor van szükség, ha létrehoz egy új privát BatchAccount-végpontot privát DNS-integrációval ugyanabban a virtuális hálózatban, amely már hozzá van kapcsolva az előző privát DNS-zónához.

Korábbi privát DNS-zóna migrálása az új zónába

Bár továbbra is használhatja az előző privát DNS-zónát a meglévő üzembehelyezési folyamattal, javasoljuk, hogy migrálja az új zónába a DNS-konfigurációkezelés egyszerűsége érdekében:

  • Az új privát DNS-zónával privatelink.batch.azure.comnem kell minden régióhoz különböző zónákat konfigurálnia és kezelnie a Batch-fiókokkal.
  • Amikor elkezdi használni az új privát DNS-zónát is használó nodeManagement privát végpontot , csak egyetlen privát DNS-zónát kell kezelnie mindkét típusú privát végponthoz.

Az előző privát DNS-zónát az alábbi lépésekkel migrálhatja:

  1. Hozza létre és kapcsolja össze az új privát DNS-zónát privatelink.batch.azure.com a virtuális hálózatával.
  2. Másolja az összes DNS A rekordot az előző privát DNS-zónából az új zónába:
From zone "privatelink.<region>.batch.azure.com":
    myaccount  A <ip>
To zone "privatelink.batch.azure.com":
    myaccount.<region>  A <ip>
  1. Válassza le az előző privát DNS-zónát a virtuális hálózatról.
  2. Ellenőrizze a DNS-feloldásokat a virtuális hálózaton belül, és a Batch-fiók DNS-nevét továbbra is fel kell oldani a privát végpont IP-címére:
nslookup myaccount.<region>.batch.azure.com
  1. Kezdje el használni az új privát DNS-zónát az új privát végpontok üzembehelyezési folyamatával.
  2. A migrálás befejezése után törölje az előző privát DNS-zónát.

Díjszabás

A privát végpontokkal kapcsolatos költségekkel kapcsolatos részletekért lásd Azure Private Link díjszabását.

Aktuális korlátozások és ajánlott eljárások

Amikor privát végpontot hoz létre a Batch-fiókkal, tartsa szem előtt a következőket:

  • A batchAccount alerőforrással rendelkező privát végponti erőforrásokat ugyanabban az előfizetésben kell létrehozni, mint a Batch-fiókot.
  • Az erőforrás-áthelyezés nem támogatott a Batch-fiókokkal rendelkező privát végpontok esetében.
  • Ha egy Batch-fiók erőforrását egy másik erőforráscsoportba vagy előfizetésbe helyezi át, a privát végpontok továbbra is működhetnek, de a Batch-fiókhoz való társítás megszakad. Ha törli a privát végpont erőforrását, a társított privát végpontkapcsolat továbbra is létezik a Batch-fiókban. A Kapcsolatot manuálisan is eltávolíthatja a Batch-fiókból.
  • A privát kapcsolat törléséhez törölje a privát végpont erőforrását, vagy törölje a privát kapcsolatot a Batch-fiókban (ez a művelet leválasztja a kapcsolódó privát végponti erőforrást).
  • A privát DNS-zónában lévő DNS-rekordok nem törlődnek automatikusan, amikor töröl egy privát végpontkapcsolatot a Batch-fiókból. A DNS-rekordokat manuálisan kell eltávolítania, mielőtt új privát végpontot adna hozzá ehhez a privát DNS-zónához. Ha nem törli a DNS-rekordokat, váratlan hozzáférési problémák léphetnek fel.

Következő lépések