Notatka
Dostęp do tej strony wymaga autoryzacji. Może spróbować zalogować się lub zmienić katalogi.
Dostęp do tej strony wymaga autoryzacji. Możesz spróbować zmienić katalogi.
Dotyczy:
Azure SQL Managed Instance
Ten artykuł zawiera omówienie prywatnego punktu końcowego dla usługi Azure SQL Managed Instance, a także kroki konfigurowania go. Prywatne punkty końcowe ustanawiają bezpieczną, izolowana łączność między usługą i wieloma sieciami wirtualnymi bez uwidaczniania całej infrastruktury sieciowej usługi.
Omówienie
Usługa Private Link to technologia platformy Azure, która udostępnia usługę Azure SQL Managed Instance w wybranej sieci wirtualnej. Administrator sieci może ustanowić prywatny punkt końcowy w usłudze Azure SQL Managed Instance w swojej sieci wirtualnej, podczas gdy administrator SQL decyduje się zaakceptować lub odrzucić punkt końcowy, zanim stanie się aktywny. Prywatne punkty końcowe ustanawiają bezpieczną, izolowana łączność między usługą i wieloma sieciami wirtualnymi bez uwidaczniania całej infrastruktury sieciowej usługi.
Czym różnią się prywatne punkty końcowe od punktów końcowych lokalnych sieci wirtualnej
Domyślny lokalny punkt końcowy sieci wirtualnej wdrożony z każdą usługą Azure SQL Managed Instance działa tak, jakby komputer z uruchomioną usługą był fizycznie dołączony do sieci wirtualnej. Umożliwia niemal pełną kontrolę ruchu za pośrednictwem tabel routingu, sieciowych grup zabezpieczeń, rozpoznawania nazw DNS, zapór i podobnych mechanizmów. Możesz również użyć tego punktu końcowego, aby zaangażować wystąpienie w scenariuszach wymagających łączności na portach innych niż 1433, takich jak grupy trybu failover, transakcje rozproszone i link wystąpienia zarządzanego. Mimo że lokalny punkt końcowy sieci wirtualnej zapewnia elastyczność, zwiększa złożoność konfigurowania dla określonych scenariuszy, zwłaszcza tych obejmujących wiele sieci wirtualnych lub dzierżaw.
Z kolei skonfigurowanie prywatnego punktu końcowego przypomina przedłużenie fizycznego kabla sieciowego od komputera z usługą Azure SQL Managed Instance do innej sieci wirtualnej. Ta ścieżka łączności jest ustanawiana praktycznie za pośrednictwem technologii azure Private Link. Zezwala tylko na połączenia w jednym kierunku: z prywatnego punktu końcowego do usługi Azure SQL Managed Instance. Ponadto prowadzi ruch tylko na porcie 1433 (standardowy port ruchu TDS). W ten sposób usługa Azure SQL Managed Instance staje się dostępna dla innej sieci wirtualnej bez konieczności konfigurowania komunikacji równorzędnej sieci ani włączania publicznego punktu końcowego wystąpienia. Nawet jeśli przeniesiesz wystąpienie do innej podsieci, wszystkie ustanowione prywatne punkty końcowe będą nadal wskazywać wystąpienie.
Aby zapoznać się z bardziej szczegółowym omówieniem różnych typów punktów końcowych obsługiwanych przez usługę Azure SQL Managed Instance, zobacz Omówienie komunikacji.
Kiedy używać prywatnych punktów końcowych
Prywatne punkty końcowe w usłudze Azure SQL Managed Instance są bezpieczniejsze niż używanie lokalnego punktu końcowego sieci wirtualnej lub publicznego punktu końcowego i upraszczają implementację ważnych scenariuszy łączności. Scenariusze obejmują:
- Airlock: prywatne punkty końcowe w usłudze Azure SQL Managed Instance są wdrażane w sieci wirtualnej z serwerami przesiadkowymi i bramą usługi ExpressRoute, zapewniając bezpieczeństwo i izolację między zasobami lokalnymi i w chmurze.
- Topologia piasty i szprych: Prywatne punkty końcowe w sieciach wirtualnych szprych przekierowują ruch z klientów i aplikacji SQL do usługi Azure SQL Managed Instances w sieci wirtualnej piasty, ustanawiając wyraźną izolację sieci i separację odpowiedzialności.
- Wydawca-odbiorca: lokator wydawcy (na przykład niezależnego dostawcy oprogramowania) zarządca wieloma wystąpieniami zarządzanymi SQL w swoich sieciach wirtualnych. Wydawca tworzy prywatne punkty końcowe w sieciach wirtualnych innych dzierżaw, aby udostępnić wystąpienia swoim konsumentom.
- Integracja usług PaaS i SaaS platformy Azure: niektóre usługi PaaS i SaaS, takie jak Azure Data Factory, mogą tworzyć prywatne punkty końcowe i zarządzać nimi w usłudze Azure SQL Managed Instance.
Zalety korzystania z prywatnych punktów końcowych za pośrednictwem lokalnego punktu końcowego sieci wirtualnej lub publicznego punktu końcowego:
- Przewidywalność adresów IP: prywatny punkt końcowy do usługi Azure SQL Managed Instance ma przypisany stały adres IP z zakresu adresów podsieci. Ten adres IP pozostaje statyczny, nawet jeśli adresy IP lokalnych punktów końcowych sieci wirtualnej lub publicznych punktów końcowych zmienią się.
- Szczegółowy dostęp do sieci: prywatny punkt końcowy jest widoczny tylko wewnątrz sieci wirtualnej.
- Silna izolacja sieci: w scenariuszu peeringu równorzędne sieci wirtualne ustanawiają dwukierunkową łączność, natomiast prywatne punkty końcowe są jednokierunkowe i nie udostępniają zasobów sieciowych wewnątrz swojej sieci do Azure SQL Managed Instance.
- Unikanie nakładania się adresów: Peering wielu sieci wirtualnych wymaga starannej alokacji przestrzeni IP i może stanowić problem, gdy przestrzenie adresowe się pokrywają.
- Oszczędzanie przestrzeni adresowej IP: Prywatny punkt końcowy zużywa tylko jeden adres IP z przestrzeni adresowej podsieci.
Ograniczenia
- Usługa Azure SQL Managed Instance wymaga, aby dokładna nazwa hosta wystąpienia pojawiła się w parametry połączenia wysłanym przez klienta SQL. Użycie adresu IP prywatnego punktu końcowego nie jest obsługiwane i zakończy się niepowodzeniem. Aby rozwiązać ten problem, skonfiguruj serwer DNS lub użyj prywatnej strefy DNS zgodnie z opisem w temacie Konfigurowanie rozpoznawania nazw domen dla prywatnego punktu końcowego.
- Automatyczna rejestracja nazw DNS nie jest jeszcze obsługiwana. Wykonaj kroki opisane w temacie Konfigurowanie rozpoznawania nazw domen dla prywatnego punktu końcowego .
- Prywatne punkty końcowe usługi SQL Managed Instance mogą być używane tylko do nawiązywania połączenia z portem 1433, standardowym portem TDS dla ruchu SQL. Bardziej złożone scenariusze łączności wymagające komunikacji na innych portach należy ustanowić za pośrednictwem lokalnego punktu końcowego sieci wirtualnej wystąpienia.
- Prywatne punkty końcowe w usłudze Azure SQL Managed Instance wymagają specjalnej konfiguracji w celu skonfigurowania wymaganej rozpoznawania nazw DNS, zgodnie z opisem w temacie Konfigurowanie rozpoznawania nazw domen dla prywatnego punktu końcowego.
- Prywatne punkty końcowe zawsze używają typu połączenia serwera proxy niezależnie od ustawienia typu połączenia.
Tworzenie prywatnego punktu końcowego w sieci wirtualnej
Utwórz prywatny punkt końcowy przy użyciu witryny Azure Portal, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure:
Po utworzeniu prywatnego punktu końcowego może być również konieczne zatwierdzenie jego utworzenia w docelowej sieci wirtualnej; Zobacz Przeglądanie i zatwierdzanie żądania utworzenia prywatnego punktu końcowego.
Aby zapewnić pełne działanie prywatnego punktu końcowego w usłudze SQL Managed Instance, postępuj zgodnie z instrukcjami, aby skonfigurować rozpoznawanie nazw domen dla prywatnego punktu końcowego.
Tworzenie prywatnego punktu końcowego w usłudze PaaS lub SaaS
Niektóre usługi PaaS i SaaS platformy Azure mogą używać prywatnych punktów końcowych do uzyskiwania dostępu do danych z poziomu ich środowisk. Procedura konfigurowania prywatnego punktu końcowego w takiej usłudze (czasami nazywanej "zarządzanym prywatnym punktem końcowym" lub "prywatnym punktem końcowym w zarządzanej sieci wirtualnej") różni się w zależności od usług. Administrator nadal musi przejrzeć i zatwierdzić żądanie w usłudze Azure SQL Managed Instance, zgodnie z opisem w artykule Przeglądanie i zatwierdzanie żądania utworzenia prywatnego punktu końcowego.
Uwaga
Usługa Azure SQL Managed Instance wymaga parametry połączenia od klienta SQL, aby mieć nazwę wystąpienia jako pierwszy segment nazwy domeny (na przykład: <instance-name>.<dns-zone>.database.windows.net). Usługi PaaS i SaaS, które próbują nawiązać połączenie z prywatnym punktem końcowym usługi Azure SQL Managed Instance za pośrednictwem jego adresu IP, nie będą mogły nawiązać połączenia.
Tworzenie prywatnego punktu końcowego między dzierżawami
Prywatne punkty końcowe w usłudze Azure SQL Managed Instance można również tworzyć w różnych dzierżawach platformy Azure. W tym celu administrator sieci wirtualnej, w której powinien pojawić się prywatny punkt końcowy, musi najpierw uzyskać pełny identyfikator zasobu usługi Azure SQL Managed Instance, z którego ma zażądać prywatnego punktu końcowego. Dzięki tym informacjom można utworzyć nowy prywatny punkt końcowy w Centrum usługi Private Link. Tak jak wcześniej administrator usługi Azure SQL Managed Instance otrzyma żądanie, które może przejrzeć i zatwierdzić lub odrzucić, zgodnie z artykułem Przeglądanie i zatwierdzanie żądania utworzenia prywatnego punktu końcowego.
Przeglądanie i zatwierdzanie żądania utworzenia prywatnego punktu końcowego
Po utworzeniu prywatnego punktu końcowego administrator SQL może zarządzać połączeniem prywatnego punktu końcowego z usługą Azure SQL Managed Instance. Pierwszym krokiem do zarządzania nowym połączeniem prywatnego punktu końcowego jest przejrzenie i zatwierdzenie prywatnego punktu końcowego. Ten krok jest automatyczny, jeśli użytkownik lub usługa tworząca prywatny punkt końcowy ma wystarczające uprawnienia kontroli dostępu na podstawie ról platformy Azure w zasobie usługi Azure SQL Managed Instance. Jeśli użytkownik nie ma wystarczających uprawnień, należy ręcznie przeprowadzić przegląd i zatwierdzenie prywatnego punktu końcowego.
Aby zatwierdzić prywatny punkt końcowy, wykonaj następujące kroki:
Przejdź do wystąpienia zarządzanego Azure SQL w witrynie Azure Portal.
W obszarze Zabezpieczenia wybierz pozycję Połączenia prywatnych punktów końcowych.
Przejrzyj połączenia, które mają stan Oczekiwanie, i zaznacz pole wyboru, aby wybrać co najmniej jedno połączenie prywatnego punktu końcowego do zatwierdzenia lub odrzucenia.
Wybierz pozycję Zatwierdź lub Odrzuć, a następnie wybierz pozycję Tak w oknie dialogowym weryfikując akcję.
Po zatwierdzeniu lub odrzuceniu połączenia lista Połączenia prywatnego punktu końcowego odzwierciedla stan bieżących połączeń prywatnych punktów końcowych, a także komunikat żądania/odpowiedzi .
Konfigurowanie rozpoznawania nazw domen dla prywatnego punktu końcowego
Po utworzeniu prywatnego punktu końcowego w usłudze Azure SQL Managed Instance należy skonfigurować rozpoznawanie nazw domen. W przeciwnym razie próby logowania nie powiedzą się. Poniższa metoda działa w przypadku sieci wirtualnych korzystających z rozpoznawania usługi Azure DNS. Jeśli sieć wirtualna jest skonfigurowana do używania niestandardowego serwera DNS, odpowiednio dostosuj kroki.
Aby skonfigurować rozwiązywanie nazw domen dla prywatnego punktu końcowego dla instancji, której nazwa domeny lokalnego punktu końcowego w sieci VNet to <instance-name>.<dns-zone>.database.windows.net, postępuj zgodnie z jedną z dwóch procedur opisanych w tej sekcji w zależności od tego, czy instancja i jej prywatny punkt końcowy znajdują się w tej samej sieci wirtualnej, czy w różnych sieciach wirtualnych.
Ważne
Nie zmieniaj sposobu, w jaki punkt końcowy lokalny sieci VNet dla nazwy domeny usługi Azure SQL Managed Instance rozwiązuje query wewnątrz własnej sieci wirtualnej. W ten sposób zakłóca to zdolność wystąpienia do wykonywania operacji zarządzania.
Wykonaj następujące kroki, jeśli prywatny punkt końcowy i usługa Azure SQL Managed Instance znajdują się w różnych sieciach wirtualnych.
Po wykonaniu tych kroków klienci SQL łączący <instance-name>.<dns-zone>.database.windows.net się z siecią wirtualną punktu końcowego będą w przezroczysty sposób kierowani przez prywatny punkt końcowy.
Uzyskaj adres IP prywatnego punktu końcowego, odwiedzając Centrum usługi Private Link lub wykonując następujące kroki:
Przejdź do wystąpienia zarządzanego Azure SQL w witrynie Azure Portal.
W obszarze Zabezpieczenia wybierz pozycję Połączenia prywatnych punktów końcowych.
Znajdź połączenie prywatnego punktu końcowego w tabeli i wybierz nazwę prywatnego punktu końcowego dla wybranego połączenia.
Na stronie Przegląd wybierz interfejs sieciowy.
Na stronie Przegląd sprawdź podstawowe elementy, aby zidentyfikować i skopiować prywatny adres IP.
Utwórz prywatną strefę usługi Azure DNS o nazwie
privatelink.<dns-zone>.database.windows.net.Połącz prywatną strefę DNS z siecią wirtualną punktu końcowego.
W strefie DNS utwórz nowy zestaw rekordów z następującymi wartościami:
- Nazwa:
<instance-name> - Typ: A
- Adres IP: adres IP prywatnego punktu końcowego uzyskanego w poprzednim zestawie
- Nazwa: