Hozzáférés engedélyezése Azure Service Bus névterekhez privát végpontokon keresztül
Azure Private Link szolgáltatás lehetővé teszi az Azure-szolgáltatások (például Azure Service Bus, Azure Storage és Azure Cosmos DB) és az Azure által üzemeltetett ügyfél-/partnerszolgáltatások elérését a virtuális hálózat privát végpontja felett.
A privát végpont egy hálózati adapter, amely privát és biztonságos módon csatlakoztatja Önt egy Azure Private Link által működtetett szolgáltatáshoz. A privát végpont egy magánhálózati IP-címet használ a virtuális hálózatról, így hatékonyan hozza be a szolgáltatást a virtuális hálózatba. A szolgáltatásba irányuló minden forgalom átirányítható a privát végponton keresztül, így nincs szükség átjárókra, NAT-eszközökre, ExpressRoute- vagy VPN-kapcsolatokra vagy nyilvános IP-címekre. A virtuális hálózat és a szolgáltatás közötti forgalom a Microsoft gerinchálózatán keresztül halad át, így kiküszöböli a nyilvános internet jelentette kitettséget. Csatlakozhat egy Azure-erőforrás egy példányához, így a hozzáférés-vezérlésben a legmagasabb szintű részletességet érheti el.
További információ: Mi az a Azure Private Link?
Fontos tudnivalók
Ezt a funkciót a prémium szintű Azure Service Bus támogatja. A prémium szinttel kapcsolatos további információkért tekintse meg a Service Bus Prémium és Standard üzenetkezelési szintjeit ismertető cikket.
A privát végpontok létesítése megakadályozhatja, hogy más Azure-szolgáltatások kommunikálni tudjanak a Service Busszal. Kivételként engedélyezheti a Service Bus-erőforrások elérését bizonyos megbízható szolgáltatásokból , még akkor is, ha a privát végpontok engedélyezve vannak. A megbízható szolgáltatások listájáért lásd: Megbízható szolgáltatások.
A következő Microsoft-szolgáltatásoknak virtuális hálózaton kell lenniük
- Azure App Service
- Azure Functions
Adjon meg legalább egy IP-szabályt vagy virtuális hálózati szabályt a névtérhez, hogy csak egy virtuális hálózat megadott IP-címéről vagy alhálózatáról engedélyezze a forgalmat. Ha nincsenek IP- és virtuális hálózati szabályok, a névtér a nyilvános interneten keresztül (a hozzáférési kulccsal) érhető el.
Privát végpont hozzáadása Azure Portal használatával
Előfeltételek
A Service Bus-névtér Azure Private Link való integrálásához a következő entitásokra vagy engedélyekre van szükség:
- Egy Service Bus-névtér.
- Egy Azure-beli virtuális hálózat.
- Egy alhálózat a virtuális hálózaton. Használhatja az alapértelmezett alhálózatot.
- Tulajdonosi vagy közreműködői engedélyek mind a Service Bus-névtérhez, mind a virtuális hálózathoz.
A virtuális hálózatnak és a privát végpontnak ugyanabban a régióban kell lenniük. Amikor a portál használatával kiválaszt egy régiót a privát végponthoz, az automatikusan szűri az adott régióban található virtuális hálózatokat. A Service Bus-névtér egy másik régióban is lehet. A privát végpont privát IP-címet használ a virtuális hálózaton.
Privát hozzáférés konfigurálása névtér létrehozásakor
Névtér létrehozásakor engedélyezheti a névtérhez való hozzáférést csak nyilvánosan (az összes hálózatból) vagy csak privát (csak privát végpontokon keresztüli) hozzáférést.
Ha a névtérlétrehozási varázsló Hálózat lapján a Privát hozzáférés lehetőséget választja, a + Privát végpont gomb kiválasztásával hozzáadhat egy privát végpontot a lapon. A privát végpont hozzáadásának részletes lépéseit a következő szakaszban találja.
Privát hozzáférés konfigurálása meglévő névtérhez
Ha már rendelkezik meglévő névtérrel, az alábbi lépésekkel hozhat létre privát végpontot:
Jelentkezzen be az Azure Portalra.
A keresősávba írja be a Service Bus kifejezést.
Válassza ki azt a névteret a listából, amelyhez privát végpontot szeretne hozzáadni.
A bal oldali menüben válassza a Beállítások területen a Hálózatkezelés lehetőséget.
Megjegyzés
A Hálózat lap csak a prémium névterek esetében jelenik meg.
A Hálózat lapon a Nyilvános hálózati hozzáférés beállításnál válassza a Letiltva lehetőséget, ha azt szeretné, hogy a névtér csak privát végpontokon keresztül legyen elérhető.
Ha engedélyezni szeretné, hogy a megbízható Microsoft-szolgáltatások megkerüljék ezt a tűzfalat, válassza az Igen lehetőséget, ha engedélyezni szeretné, hogy a megbízható Microsoft-szolgáltatások megkerüljék ezt a tűzfalat.
Ha privát végpontokon keresztül szeretné engedélyezni a névtérhez való hozzáférést, válassza a privát végponti kapcsolatok lapot a lap tetején
Válassza a + Privát végpont gombot az oldal tetején.
Az Alapvető beállítások lapon kövesse az alábbi lépéseket:
Válassza ki azt az Azure-előfizetést , amelyben létre szeretné hozni a privát végpontot.
Válassza ki a privát végponti erőforrás erőforráscsoportját .
Adja meg a privát végpont nevét .
Adja meg a hálózati adapter nevét.
Válasszon ki egy régiót a privát végponthoz. A privát végpontnak ugyanabban a régióban kell lennie, mint a virtuális hálózatnak, de más régióban lehet, mint a privát kapcsolati erőforrás, amelyhez csatlakozik.
Válassza a Tovább: Erőforrás > gombot az oldal alján.
Az Erőforrás lapon tekintse át a beállításokat, és válassza a Tovább: Virtual Network lehetőséget a lap alján.
A Virtual Network lapon kiválaszthatja azt az alhálózatot egy virtuális hálózatban, ahová telepíteni szeretné a privát végpontot.
- Válasszon ki egy virtuális hálózatot. A legördülő listában csak az aktuálisan kiválasztott előfizetésben és helyen található virtuális hálózatok jelennek meg.
- Válasszon ki egy alhálózatot a kiválasztott virtuális hálózatban.
- Figyelje meg, hogy a privát végpontok hálózati szabályzata le van tiltva. Ha engedélyezni szeretné, válassza a Szerkesztés lehetőséget, frissítse a beállítást, majd válassza a Mentés lehetőséget.
- Privát IP-konfiguráció esetén alapértelmezés szerint az IP-cím dinamikus lefoglalása beállítás van kiválasztva. Ha statikus IP-címet szeretne hozzárendelni, válassza az IP-cím statikus lefoglalása* lehetőséget.
- Alkalmazásbiztonsági csoport esetén válasszon ki egy meglévő alkalmazásbiztonsági csoportot, vagy hozzon létre egy, a privát végponthoz társítandó csoportot.
- Válassza a Tovább: DNS > gombot az oldal alján.
A DNS lapon válassza ki, hogy a privát végpont integrálva legyen-e egy privát DNS-zónával, majd válassza a Tovább: Címkék lehetőséget.
A Címkék lapon hozza létre a privát végponti erőforráshoz társítani kívánt címkéket (neveket és értékeket). Ezután válassza az oldal alján található Véleményezés + létrehozás gombot.
A Felülvizsgálat + létrehozás lapon tekintse át az összes beállítást, majd válassza a Létrehozás lehetőséget a privát végpont létrehozásához.
Ellenőrizze, hogy létrejött-e a privát végpont. Ha Ön az erőforrás tulajdonosa, és a Csatlakozás azure-erőforráshoz lehetőséget választotta a saját címtárban a Connection metódushoz, a végpontkapcsolatot automatikusan jóvá kell hagyni. Ha függőben lévő állapotban van, tekintse meg a Privát végpontok kezelése Azure Portal használatával című szakaszt.
Megbízható Microsoft-szolgáltatások
Ha engedélyezi, hogy a megbízható Microsoft-szolgáltatások megkerüljék ezt a tűzfalbeállítást , a következő szolgáltatások kapnak hozzáférést a Service Bus-erőforrásokhoz.
| Megbízható szolgáltatás | Támogatott használati forgatókönyvek |
|---|---|
| Azure Event Grid | Lehetővé teszi, hogy Azure Event Grid eseményeket küldjön a Service Bus-névtér üzenetsoraiba vagy témaköreibe. A következő lépéseket is el kell végeznie:
További információ: Eseménykézbesítés felügyelt identitással |
| Azure Stream Analytics | Lehetővé teszi, hogy az Azure Stream Analytics-feladatok adatokat adjanak ki a Service Bus-üzenetsoroknaka témakörökbe. Fontos: A Stream Analytics-feladatot úgy kell konfigurálni, hogy felügyelt identitást használjon a Service Bus-névtér eléréséhez. Adja hozzá az identitást az Azure Service Bus Adatküldő szerepkörhöz a Service Bus-névtérben. |
| Azure IoT Hub | Lehetővé teszi, hogy az IoT Hub üzeneteket küldjön a Service Bus-névtér üzenetsoraiba vagy témaköreibe. A következő lépéseket is el kell végeznie:
|
| Azure API Management | A API Management szolgáltatás lehetővé teszi, hogy üzeneteket küldjön egy Service Bus-üzenetsorba/témakörbe a Service Bus-névtérben.
|
| Azure IoT Central | Lehetővé teszi, hogy az IoT Central adatokat exportáljon Service Bus-üzenetsorokba vagy témakörökbe a Service Bus-névtérben. A következő lépéseket is el kell végeznie:
|
| Azure Digital Twins | Lehetővé teszi, hogy az Azure Digital Twins kibocsátsa az adatokat a Service Bus-témakörökbe a Service Bus-névtérben. A következő lépéseket is el kell végeznie:
|
| Azure Monitor (diagnosztikai beállítások és műveletcsoportok) | Lehetővé teszi, hogy az Azure Monitor diagnosztikai adatokat és riasztási értesítéseket küldjön a Service Bus-névtérben lévő Service Busnak. Az Azure Monitor képes adatokat olvasni és írni a Service Bus-névtérbe. |
| Azure Synapse | Lehetővé teszi Azure Synapse számára, hogy a Synapse-munkaterület felügyelt identitásával csatlakozzon a service bushoz. Adja hozzá az Azure Service Bus adatküldő, fogadó vagy tulajdonos szerepkört az identitáshoz a Service Bus-névtérben. |
A Azure Service Bus egyéb megbízható szolgáltatásai az alábbiakban találhatók:
- Azure Adatkezelő
- Azure Health Data Services
- Azure Arc
- Azure Kubernetes
- Azure Machine Learning
- Microsoft Purview
Ha engedélyezni szeretné, hogy a megbízható szolgáltatások hozzáférjenek a névtérhez, váltson a Hálózat lap Nyilvános hozzáférés lapjára, és válassza az Igen lehetőséget a Megbízható Microsoft-szolgáltatások engedélyezése a tűzfal megkerüléséhez?.
Privát végpont hozzáadása a PowerShell használatával
Az alábbi példa bemutatja, hogyan hozhat létre privát végponti kapcsolatot a Service Bus-névtérhez Azure PowerShell használatával.
A virtuális hálózatnak és a privát végpontnak ugyanabban a régióban kell lenniük. A Service Bus-névtér egy másik régióban is lehet. A privát végpont privát IP-címet használ a virtuális hálózaton.
$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VNET LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"
# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation
# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
-ResourceGroupName $rgName `
-Location $vnetlocation `
-Name $vnetName `
-AddressPrefix 10.0.0.0/16
# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
-Name $subnetName `
-AddressPrefix 10.0.0.0/24 `
-PrivateEndpointNetworkPoliciesFlag "Disabled" `
-VirtualNetwork $virtualNetwork
# update virtual network
$virtualNetwork | Set-AzVirtualNetwork
# create premium service bus namespace
$namespaceResource = New-AzResource -Location $namespaceLocation -ResourceName $namespaceName -ResourceGroupName $rgName -Sku @{name = "Premium"; capacity = 1} -Properties @{} -ResourceType "Microsoft.ServiceBus/namespaces" -
# create a private link service connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
-Name $peConnectionName `
-PrivateLinkServiceId $namespaceResource.ResourceId `
-GroupId "namespace"
# get subnet object that you will use in the next step
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
| Where-Object {$_.Name -eq $subnetName}
# now, create private endpoint
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName `
-Name $vnetName `
-Location $vnetlocation `
-Subnet $subnet `
-PrivateLinkServiceConnection $privateEndpointConnection
(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties
Privát végpontok kezelése a Azure Portal használatával
Privát végpont létrehozásakor a kapcsolatot jóvá kell hagyni. Ha az erőforrás, amelyhez privát végpontot hoz létre, a címtárban található, jóváhagyhatja a kapcsolatkérést, ha rendelkezik a megfelelő engedélyekkel. Ha egy másik címtárban lévő Azure-erőforráshoz csatlakozik, meg kell várnia, amíg az erőforrás tulajdonosa jóváhagyja a kapcsolatkérést.
Négy kiépítési állapot létezik:
| Szolgáltatásművelet | Szolgáltatásfelhasználó privát végpontjának állapota | Leírás |
|---|---|---|
| Nincs | Függőben | A kapcsolat manuálisan jön létre, és a Private Link erőforrás-tulajdonos jóváhagyására vár. |
| Jóváhagyás | Approved | A kapcsolat automatikusan vagy manuálisan lett jóváhagyva, és készen áll a használatra. |
| Elutasítás | Elutasítva | A privát kapcsolat erőforrás-tulajdonosa elutasította a kapcsolatot. |
| Eltávolítás | Leválasztott | A privát kapcsolat erőforrás-tulajdonosa eltávolította a kapcsolatot, a privát végpont informatív lesz, és törölni kell a törléshez. |
Privát végpontkapcsolat jóváhagyása, elutasítása vagy eltávolítása
- Jelentkezzen be az Azure Portalra.
- A keresősávba írja be a Service Bus kifejezést.
- Válassza ki a kezelni kívánt névteret .
- Válassza a Hálózatkezelés lapot.
- Tekintse meg a megfelelő szakaszt a kívánt művelet alapján: jóváhagyás, elutasítás vagy eltávolítás.
Privát végpontkapcsolat jóváhagyása
Ha vannak függőben lévő kapcsolatok, a Függőben állapotú kapcsolat jelenik meg a kiépítési állapotban.
Válassza ki a jóváhagyni kívánt privát végpontot
Válassza a Jóváhagyás gombot.
A Kapcsolat jóváhagyása lapon adjon meg egy nem kötelező megjegyzést, és válassza az Igen lehetőséget. Ha a Nem lehetőséget választja, semmi sem történik.
A listában a kapcsolat állapota Jóváhagyva állapotúra módosult.
Privát végponti kapcsolat elutasítása
Ha vannak olyan privát végpontkapcsolatok, amelyeket el szeretne utasítani, legyen az függőben lévő kérés vagy korábban jóváhagyott meglévő kapcsolat, válassza ki a végpontkapcsolatot, és válassza az Elutasítás gombot.
A Kapcsolat elvetése lapon írjon be egy nem kötelező megjegyzést, és válassza az Igen lehetőséget. Ha a Nem lehetőséget választja, semmi sem történik.
A listában a kapcsolat állapota Elutasítva értékre módosult.
Privát végpontkapcsolat eltávolítása
Privát végpontkapcsolat eltávolításához jelölje ki a listában, majd válassza az eszköztár Eltávolítás elemét.
A Kapcsolat törlése lapon válassza az Igen lehetőséget a privát végpont törlésének megerősítéséhez. Ha a Nem lehetőséget választja, semmi sem történik.
Az állapotnak Leválasztva állapotra kell változnia. Ezután a végpont eltűnik a listából.
Ellenőrizze, hogy működik-e a privát kapcsolat
Ellenőrizze, hogy a privát végpont virtuális hálózatában lévő erőforrások privát IP-címen keresztül csatlakoznak-e a Service Bus-névtérhez, és hogy a megfelelő privát DNS-zónaintegrációval rendelkeznek-e.
Először hozzon létre egy virtuális gépet a Windows rendszerű virtuális gép létrehozása a Azure Portal
A Hálózat lapon :
- Adja meg a virtuális hálózatot és az alhálózatot. Ki kell választania azt a Virtual Network, amelyen üzembe helyezte a privát végpontot.
- Adjon meg egy nyilvános IP-erőforrást .
- Hálózati adapter hálózati biztonsági csoportjában válassza a Nincs lehetőséget.
- A Terheléselosztáshoz válassza a Nem lehetőséget.
Csatlakozzon a virtuális géphez, nyissa meg a parancssort, és futtassa a következő parancsot:
nslookup <service-bus-namespace-name>.servicebus.windows.net
Az alábbihoz hasonló eredményt kell látnia.
Non-authoritative answer:
Name: <service-bus-namespace-name>.privatelink.servicebus.windows.net
Address: 10.0.0.4 (private IP address associated with the private endpoint)
Aliases: <service-bus-namespace-name>.servicebus.windows.net
Korlátozások és kialakítási szempontok
- A díjszabással kapcsolatos információkért lásd: Azure Private Link díjszabás.
- Ez a funkció minden nyilvános Azure-régióban elérhető.
- Privát végpontok maximális száma Service Bus-névtérenként: 120.
- A forgalom az alkalmazásrétegben van blokkolva, nem a TCP-rétegben. Ezért azt látja, hogy a TCP-kapcsolatok vagy
nslookupműveletek sikeresek a nyilvános végponton annak ellenére, hogy a nyilvános hozzáférés le van tiltva.
További információ: Azure Private Link szolgáltatás: Korlátozások
Következő lépések
- További információ a Azure Private Link
- További információ a Azure Service Bus