Consentire l'accesso allo spazio dei nomi bus di servizio di Azure da indirizzi IP o intervalli specifici
Per impostazione predefinita, gli spazi dei nomi bus di servizio sono accessibili da Internet, purché la richiesta contenga l'autenticazione e l'autorizzazione valide. Con il firewall IP, il traffico in ingresso può essere limitato a un set di indirizzi IPv4 o intervalli di indirizzi IPv4 (in notazione CIDR (Classless Inter-Domain Routing).
Questa funzionalità è utile negli scenari in cui il bus di servizio deve essere accessibile solo da siti noti specifici. Le regole del firewall consentono di configurare regole di ammissione del traffico proveniente da indirizzi IPv4 specifici. Se ad esempio si usa il bus di servizio con Azure ExpressRoute, è possibile creare una regola del firewall per consentire traffico solo da indirizzi IP o indirizzi IP dell'infrastruttura locale di un gateway NAT aziendale.
Regole del firewall IP
Le regole del firewall IP vengono applicate a livello dello spazio dei nomi del bus di servizio. Di conseguenza, le regole si applicano a tutte le connessioni dai client che usano qualsiasi protocollo supportato (AMQP (5671) e HTTPS (443)). Qualsiasi tentativo di connessione da un indirizzo IP che non corrisponde a una regola IP consentita nello spazio dei nomi bus di servizio viene rifiutato come non autorizzato. La risposta non menziona la regola IP. Le regole del filtro IP vengono applicate in ordine e la prima regola corrispondente all'indirizzo IP determina l'azione di accettazione o rifiuto.
Aspetti importanti
Le reti virtuali sono supportate solo nel livello Premium del bus di servizio di Microsoft Azure. Se l'aggiornamento al livello Premium non è un'opzione, è possibile usare le regole del firewall IP. È consigliabile mantenere sicuro il token di firma di accesso condiviso e condividerlo con solo gli utenti autorizzati. Per altre informazioni sull'autenticazione SAS, vedere Autenticazione e autorizzazione.
Specificare almeno una regola del firewall IP o una regola di rete virtuale per lo spazio dei nomi per consentire il traffico solo dagli indirizzi IP o dalla subnet specificati di una rete virtuale. Se non sono presenti regole di rete virtuale e IP, è possibile accedere allo spazio dei nomi tramite Internet pubblico (usando la chiave di accesso).
L'implementazione di regole del firewall può impedire ad altri servizi di Azure di interagire con bus di servizio. Ad eccezione, è possibile consentire l'accesso alle risorse di bus di servizio da determinati servizi attendibili anche quando è abilitato il filtro IP. Per un elenco dei servizi attendibili, vedere Servizi attendibili.
I servizi Microsoft seguenti devono essere in una rete virtuale
- Servizio app di Azure
- Funzioni di Azure
Nota
Viene visualizzata la scheda Rete solo per gli spazi dei nomi Premium . Per impostare le regole del firewall IP per gli altri livelli, usare i modelli di Azure Resource Manager, l'interfaccia della riga di comando di Azure, PowerShell o l'API REST.
Usare il portale di Azure
Quando si crea uno spazio dei nomi, è possibile consentire l'accesso solo pubblico (da tutte le reti) o privato (solo tramite endpoint privati) allo spazio dei nomi. Dopo aver creato lo spazio dei nomi, è possibile consentire l'accesso da indirizzi IP specifici o da reti virtuali specifiche (usando gli endpoint servizio di rete).
Configurare l'accesso pubblico durante la creazione di uno spazio dei nomi
Per abilitare l'accesso pubblico, selezionare Accesso pubblico nella pagina Rete della creazione guidata dello spazio dei nomi.
Dopo aver creato lo spazio dei nomi, selezionare Rete nel menu a sinistra della pagina spazio dei nomi bus di servizio. Si noterà che l'opzione Tutte le reti è selezionata. È possibile selezionare l'opzione Reti selezionate e consentire l'accesso da indirizzi IP specifici o reti virtuali specifiche. La sezione successiva fornisce informazioni dettagliate sulla configurazione del firewall IP per specificare gli indirizzi IP da cui è consentito l'accesso.
Configurare il firewall IP per uno spazio dei nomi esistente
Questa sezione illustra come usare il portale di Azure per creare regole del firewall per gli indirizzi IP per uno spazio dei nomi del bus di servizio.
Passare allo spazio dei nomi del bus di servizio nel portale di Azure.
Nel menu a sinistra selezionare Opzione Rete in Impostazioni.
Nota
Viene visualizzata la scheda Rete solo per gli spazi dei nomi Premium .
Nella pagina Rete , per Accesso alla rete pubblica, è possibile impostare una delle tre opzioni seguenti. Scegliere l'opzione Reti selezionate per consentire l'accesso solo dagli indirizzi IP specificati.
Disabilitati. Questa opzione disabilita qualsiasi accesso pubblico allo spazio dei nomi. Lo spazio dei nomi è accessibile solo tramite endpoint privati.
Scegliere se si vuole consentire a servizi Microsoft attendibili di ignorare il firewall. Per l'elenco di servizi Microsoft attendibili per bus di servizio di Azure, vedere la sezione Servizi Microsoft attendibile.
Reti selezionate. Questa opzione consente l'accesso pubblico allo spazio dei nomi usando una chiave di accesso dalle reti selezionate.
Importante
Se si sceglie Reti selezionate, aggiungere almeno una regola del firewall IP o una rete virtuale che avrà accesso allo spazio dei nomi. Scegliere Disabilitato se si vuole limitare tutto il traffico a questo spazio dei nomi solo su endpoint privati.
Tutte le reti (impostazione predefinita). Questa opzione abilita l'accesso pubblico da tutte le reti usando una chiave di accesso. Se si seleziona l'opzione Tutte le reti, bus di servizio accetta connessioni da qualsiasi indirizzo IP (usando la chiave di accesso). Questa impostazione equivale a una regola che accetti l'intervallo di indirizzi IP 0.0.0.0/0.
Per consentire l'accesso solo dall'indirizzo IP specificato, selezionare l'opzione Reti selezionate se non è già selezionata. Nella sezione Firewall seguire questa procedura:
Selezionare l'opzione Aggiungere l'indirizzo IP client per concedere all'IP del client corrente l'accesso allo spazio dei nomi.
Per Intervallo di indirizzi immettere un indirizzo IPv4 specifico o un intervallo di indirizzi IPv4 in notazione CIDR.
Specificare se si vuole consentire ai servizi Microsoft attendibili di ignorare il firewall. Per l'elenco di servizi Microsoft attendibili per bus di servizio di Azure, vedere la sezione Servizi Microsoft attendibile.
Avviso
Se si seleziona l'opzione Reti selezionate e non si aggiunge almeno una regola del firewall IP o una rete virtuale in questa pagina, è possibile accedere allo spazio dei nomi tramite Internet pubblico (usando la chiave di accesso).
Selezionare Salva sulla barra degli strumenti per salvare le impostazioni. Attendere qualche minuto la visualizzazione della conferma tra le notifiche del portale.
Nota
Per limitare l'accesso a reti virtuali specifiche, vedere Consentire l'accesso da reti specifiche.
Servizi Microsoft attendibili
Quando si abilita l'impostazione Consenti all'servizi Microsoft attendibile di ignorare questa impostazione del firewall, ai servizi seguenti viene concesso l'accesso alle risorse bus di servizio.
| Servizio attendibile | Scenari di utilizzo supportati |
|---|---|
| Griglia di eventi di Azure | Consente Griglia di eventi di Azure di inviare eventi a code o argomenti nello spazio dei nomi bus di servizio. È anche necessario eseguire i passaggi seguenti:
Per altre informazioni, vedere Recapito di eventi con un'identità gestita |
| Analisi di flusso di Azure | Consente a un processo di Analisi di flusso di Azure di restituire i dati per bus di servizio code agli argomenti. Importante: il processo di Analisi di flusso deve essere configurato per usare un'identità gestita per accedere allo spazio dei nomi bus di servizio. Aggiungere l'identità al ruolo Mittente dati bus di servizio di Azure nello spazio dei nomi bus di servizio. |
| Hub IoT di Azure | Consente a un hub IoT di inviare messaggi a code o argomenti nello spazio dei nomi bus di servizio. È anche necessario eseguire i passaggi seguenti:
|
| Gestione API di Azure | Il servizio Gestione API consente di inviare messaggi a una coda o a un argomento bus di servizio nello spazio dei nomi bus di servizio.
|
| Azure IoT Central | Consente a IoT Central di esportare i dati in code o argomenti bus di servizio nello spazio dei nomi bus di servizio. È anche necessario eseguire i passaggi seguenti:
|
| Gemelli digitali di Azure | Consente a Gemelli digitali di Azure di egressare i dati per bus di servizio argomenti nello spazio dei nomi bus di servizio. È anche necessario eseguire i passaggi seguenti:
|
| Monitoraggio di Azure (Impostazioni di diagnostica e gruppi di azioni) | Consente a Monitoraggio di Azure di inviare informazioni di diagnostica e notifiche di avviso a bus di servizio nello spazio dei nomi bus di servizio. Monitoraggio di Azure può leggere e scrivere dati nello spazio dei nomi bus di servizio. |
| Azure Synapse | Consente ad Azure Synapse di connettersi al bus di servizio usando l'identità gestita dell'area di lavoro di Synapse. Aggiungere il ruolo bus di servizio di Azure Mittente dati, Destinatario o Proprietario all'identità nello spazio dei nomi bus di servizio. |
Gli altri servizi attendibili per bus di servizio di Azure sono disponibili di seguito:
- Esplora dati di Azure
- Servizi per i dati sanitari di Azure
- Azure Arc
- Azure Kubernetes
- Azure Machine Learning
- Microsoft Purview
Usare i modelli di Resource Manager
Questa sezione include un modello di Azure Resource Manager di esempio che aggiunge una rete virtuale e una regola del firewall a uno spazio dei nomi bus di servizio esistente.
ipMask è un singolo indirizzo IPv4 o un blocco di indirizzi IP in notazione CIDR. Ad esempio, nella notazione CIDR, 70.37.104.0/24 rappresenta i 256 indirizzi IPv4, da 70.37.104.0 a 70.37.104.255, con 24 che indica il numero di bit di prefisso significativi per l'intervallo.
Nota
Il valore predefinito di defaultAction è Allow. Quando si aggiungono regole di rete virtuale o firewall, assicurarsi di impostare su defaultActionDeny.
{
"$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
"contentVersion": "1.0.0.0",
"parameters": {
"namespace_name": {
"defaultValue": "mypremiumnamespace",
"type": "String"
}
},
"variables": {},
"resources": [
{
"type": "Microsoft.ServiceBus/namespaces",
"apiVersion": "2022-10-01-preview",
"name": "[parameters('namespace_name')]",
"location": "East US",
"sku": {
"name": "Premium",
"tier": "Premium",
"capacity": 1
},
"properties": {
"premiumMessagingPartitions": 1,
"minimumTlsVersion": "1.2",
"publicNetworkAccess": "Enabled",
"disableLocalAuth": false,
"zoneRedundant": true
}
},
{
"type": "Microsoft.ServiceBus/namespaces/networkRuleSets",
"apiVersion": "2022-10-01-preview",
"name": "[concat(parameters('namespace_name'), '/default')]",
"location": "East US",
"dependsOn": [
"[resourceId('Microsoft.ServiceBus/namespaces', parameters('namespace_name'))]"
],
"properties": {
"publicNetworkAccess": "Enabled",
"defaultAction": "Deny",
"virtualNetworkRules": [],
"ipRules": [
{
"ipMask": "10.1.1.1",
"action": "Allow"
},
{
"ipMask": "11.0.0.0/24",
"action": "Allow"
}
]
}
}
]
}
Per distribuire il modello, seguire le istruzioni per Azure Resource Manager.
Importante
Se non sono presenti regole di rete virtuale e IP, tutto il traffico passa allo spazio dei nomi anche se si imposta su defaultActiondeny. È possibile accedere allo spazio dei nomi tramite Internet pubblico (usando la chiave di accesso). Specificare almeno una regola IP o una regola di rete virtuale per lo spazio dei nomi per consentire il traffico solo dagli indirizzi IP o dalla subnet specificati di una rete virtuale.
Utilizzare l'interfaccia della riga di comando di Azure
Usare az servicebus namespace network-rule-set i comandi add, list, update e remove per gestire le regole del firewall IP per uno spazio dei nomi bus di servizio.
Usare Azure PowerShell
Usare i comandi di Azure PowerShell seguenti per aggiungere, elencare, rimuovere, aggiornare ed eliminare regole del firewall IP.
New-AzServiceBusIPRuleConfigeSet-AzServiceBusNetworkRuleSetinsieme per aggiungere una regola del firewall IP.
Azione predefinita e accesso alla rete pubblica
REST API
Il valore predefinito della proprietà era Deny per l'API defaultAction versione 2021-01-01-preview e versioni precedenti. Tuttavia, la regola di negazione non viene applicata a meno che non si impostino i filtri IP o le regole della rete virtuale. Ciò significa che, se non si dispone di filtri IP o regole di rete virtuale, viene considerato come Allow.
A partire dalla versione API 2021-06-01-preview, il valore predefinito della defaultAction proprietà è Allow, per riflettere in modo accurato l'imposizione sul lato servizio. Se l'azione predefinita è impostata su Deny, vengono applicati i filtri IP e le regole della rete virtuale. Se l'azione predefinita è impostata su Allow, i filtri IP e le regole della rete virtuale non vengono applicati. Il servizio memorizza le regole quando vengono disattivate e quindi riattivate.
L'API versione 2021-06-01-preview introduce anche una nuova proprietà denominata publicNetworkAccess. Se è impostato su Disabled, le operazioni sono limitate solo ai collegamenti privati. Se è impostato su Enabled, le operazioni sono consentite su Internet pubblico.
Per altre informazioni su queste proprietà, vedere Creare o aggiornare il set di regole di rete e Creare o aggiornare le Connessione dell'endpoint privato.
Nota
Nessuna delle impostazioni precedenti ignora la convalida delle attestazioni tramite firma di accesso condiviso o l'autenticazione di Microsoft Entra. Il controllo di autenticazione viene sempre eseguito dopo che il servizio convalida i controlli di rete configurati dalle defaultActionimpostazioni , publicNetworkAccess, privateEndpointConnections .
Azure portal
portale di Azure usa sempre la versione più recente dell'API per ottenere e impostare le proprietà. Se lo spazio dei nomi è stato configurato in precedenza usando 2021-01-01-preview e versioni precedenti con impostato su Denye le regole zero IP e reti virtuali specificate, il portale avrebbe precedentemente selezionato Reti selezionate nella pagina Rete dello spazio dei nomi.defaultAction Ora controlla l'opzione Tutte le reti .
Passaggi successivi
Per limitare l'accesso al bus di servizio dalle reti virtuali di Azure, vedere il collegamento seguente: