Zezwalaj na dostęp do przestrzeni nazw usługi Azure Event Hubs za pośrednictwem prywatnych punktów końcowych
Usługa Azure Private Link umożliwia dostęp do usług platformy Azure (na przykład Azure Event Hubs, Azure Storage i Azure Cosmos DB) oraz hostowanych przez platformę Azure usług klientów/partnerów za pośrednictwem prywatnego punktu końcowego w sieci wirtualnej.
Prywatny punkt końcowy to interfejs sieciowy, który nawiązuje prywatne i bezpieczne połączenie z usługą obsługiwaną przez usługę Azure Private Link. Prywatny punkt końcowy używa prywatnego adresu IP z sieci wirtualnej, efektywnie przenosząc usługę do sieci wirtualnej. Cały ruch do usługi jest kierowany przez prywatny punkt końcowy, więc nie są potrzebne żadne bramy, urządzenia NAT, usługa ExpressRoute lub połączenia sieci VPN albo publiczne adresy IP. Ruch między siecią wirtualną a usługą odbywa się za pośrednictwem sieci szkieletowej firmy Microsoft, eliminując ekspozycję z publicznego Internetu. Możesz nawiązać połączenie z wystąpieniem zasobu platformy Azure, zapewniając najwyższy poziom szczegółowości kontroli dostępu.
Aby uzyskać więcej informacji, zobacz Co to jest usługa Azure Private Link?
Ważne punkty
- Ta funkcja nie jest obsługiwana w warstwie Podstawowa.
- Włączenie prywatnych punktów końcowych może uniemożliwić innym usługom platformy Azure interakcję z usługą Event Hubs. Żądania, które są zablokowane, obejmują te z innych usług platformy Azure, z witryny Azure Portal, z usług rejestrowania i metryk itd. Wyjątkiem jest zezwolenie na dostęp do zasobów usługi Event Hubs z określonych zaufanych usług nawet wtedy, gdy prywatne punkty końcowe są włączone. Aby uzyskać listę zaufanych usług, zobacz Zaufane usługi.
- Określ co najmniej jedną regułę adresu IP lub regułę sieci wirtualnej dla przestrzeni nazw, aby zezwolić na ruch tylko z określonych adresów IP lub podsieci sieci wirtualnej. Jeśli nie ma reguł adresów IP i sieci wirtualnej, przestrzeń nazw może być dostępna za pośrednictwem publicznego Internetu (przy użyciu klucza dostępu).
Dodawanie prywatnego punktu końcowego przy użyciu witryny Azure Portal
Wymagania wstępne
Aby zintegrować przestrzeń nazw usługi Event Hubs z usługą Azure Private Link, potrzebne są następujące jednostki lub uprawnienia:
- Przestrzeń nazw usługi Event Hubs.
- Sieć wirtualna platformy Azure.
- Podsieć w sieci wirtualnej. Możesz użyć domyślnej podsieci.
- Uprawnienia właściciela lub współautora dla przestrzeni nazw i sieci wirtualnej.
Prywatny punkt końcowy i sieć wirtualna muszą znajdować się w tym samym regionie. Po wybraniu regionu prywatnego punktu końcowego przy użyciu portalu automatycznie filtruje sieci wirtualne, które znajdują się w tym regionie. Przestrzeń nazw może znajdować się w innym regionie.
Prywatny punkt końcowy używa prywatnego adresu IP w sieci wirtualnej.
Konfigurowanie dostępu prywatnego podczas tworzenia przestrzeni nazw
Podczas tworzenia przestrzeni nazw można zezwolić tylko na dostęp publiczny (ze wszystkich sieci) lub tylko prywatny (tylko za pośrednictwem prywatnych punktów końcowych) do przestrzeni nazw.
Jeśli wybierzesz opcję Dostęp prywatny na stronie Sieć kreatora tworzenia przestrzeni nazw, możesz dodać prywatny punkt końcowy na stronie, wybierając przycisk + Prywatny punkt końcowy. Zobacz następną sekcję, aby uzyskać szczegółowe instrukcje dotyczące dodawania prywatnego punktu końcowego.
Konfigurowanie dostępu prywatnego dla istniejącej przestrzeni nazw
Jeśli masz już przestrzeń nazw usługi Event Hubs, możesz utworzyć połączenie łącza prywatnego, wykonując następujące kroki:
Zaloguj się w witrynie Azure Portal.
Na pasku wyszukiwania wpisz event hubs.
Wybierz przestrzeń nazw z listy, do której chcesz dodać prywatny punkt końcowy.
Na stronie Sieć w obszarze Dostęp do sieci publicznej wybierz pozycję Wyłączone, jeśli chcesz, aby dostęp do przestrzeni nazw był uzyskiwany tylko za pośrednictwem prywatnych punktów końcowych.
W obszarze Zezwalaj na obejście tej zapory przez zaufane usługi firmy Microsoft wybierz pozycję Tak, jeśli chcesz zezwolić na obejście tej zapory przez zaufane usługi firmy Microsoft.
Przejdź do karty Połączenia prywatnego punktu końcowego.
Wybierz przycisk + Prywatny punkt końcowy w górnej części strony.
Na stronie Podstawowe wykonaj następujące kroki:
Wybierz subskrypcję platformy Azure, w której chcesz utworzyć prywatny punkt końcowy.
Wybierz grupę zasobów dla zasobu prywatnego punktu końcowego.
Wprowadź nazwę prywatnego punktu końcowego.
Wprowadź nazwę interfejsu sieciowego.
Wybierz region dla prywatnego punktu końcowego. Prywatny punkt końcowy musi znajdować się w tym samym regionie co sieć wirtualna, ale może znajdować się w innym regionie niż zasób łącza prywatnego, z którym nawiązujesz połączenie.
Wybierz przycisk Dalej: Zasób > w dolnej części strony.
Na stronie Zasób przejrzyj ustawienia i wybierz pozycję Dalej: Sieć wirtualna.
Na stronie Sieć wirtualna wybierz podsieć w sieci wirtualnej, w której chcesz wdrożyć prywatny punkt końcowy.
Wybierz sieć wirtualną. Na liście rozwijanej są wyświetlane tylko sieci wirtualne w aktualnie wybranej subskrypcji i lokalizacji.
Wybierz podsieć w wybranej sieci wirtualnej.
Zwróć uwagę, że zasady sieciowe dla prywatnych punktów końcowych są wyłączone. Jeśli chcesz ją włączyć, wybierz pozycję Edytuj, zaktualizuj ustawienie i wybierz pozycję Zapisz.
W przypadku konfiguracji prywatnego adresu IP domyślnie jest zaznaczona opcja Dynamiczne przydzielanie adresu IP. Jeśli chcesz przypisać statyczny adres IP, wybierz pozycję Statycznie przydziel adres IP*.
W polu Grupa zabezpieczeń aplikacji wybierz istniejącą grupę zabezpieczeń aplikacji lub utwórz grupę, która ma być skojarzona z prywatnym punktem końcowym.
Wybierz przycisk Dalej: DNS > w dolnej części strony.
Na stronie DNS wybierz, czy prywatny punkt końcowy ma być zintegrowany z prywatną strefą DNS, a następnie wybierz pozycję Dalej: Tagi.
Na stronie Tagi utwórz wszystkie tagi (nazwy i wartości), które chcesz skojarzyć z zasobem prywatnego punktu końcowego. Następnie wybierz przycisk Przejrzyj i utwórz w dolnej części strony.
W obszarze Przeglądanie + tworzenie przejrzyj wszystkie ustawienia i wybierz pozycję Utwórz , aby utworzyć prywatny punkt końcowy.
Upewnij się, że zostanie wyświetlone utworzone połączenie prywatnego punktu końcowego na liście punktów końcowych. Odśwież stronę i przejdź do karty Połączenia prywatnego punktu końcowego. W tym przykładzie prywatny punkt końcowy jest automatycznie zatwierdzany, ponieważ połączono się z zasobem platformy Azure w katalogu i masz wystarczające uprawnienia.
Zaufane usługi firmy Microsoft
Po włączeniu ustawienia Zezwalaj na zaufane usługi firmy Microsoft obejście tego ustawienia zapory następujące usługi w ramach tej samej dzierżawy otrzymują dostęp do zasobów usługi Event Hubs.
| Zaufana usługa | Obsługiwane scenariusze użycia |
|---|---|
| Azure Event Grid | Umożliwia usłudze Azure Event Grid wysyłanie zdarzeń do centrów zdarzeń w przestrzeni nazw usługi Event Hubs. Należy również wykonać następujące czynności:
Aby uzyskać więcej informacji, zobacz Dostarczanie zdarzeń przy użyciu tożsamości zarządzanej |
| Azure Stream Analytics | Umożliwia zadaniu usługi Azure Stream Analytics odczytywanie danych z (danych wejściowych) lub zapisywanie danych w centrach zdarzeń (wyjściowych) w przestrzeni nazw usługi Event Hubs. Ważne: Zadanie usługi Stream Analytics należy skonfigurować tak, aby używało tożsamości zarządzanej do uzyskiwania dostępu do centrum zdarzeń. Aby uzyskać więcej informacji, zobacz Używanie tożsamości zarządzanych do uzyskiwania dostępu do centrum zdarzeń z zadania usługi Azure Stream Analytics (wersja zapoznawcza). |
| Azure IoT Hub | Umożliwia usłudze IoT Hub wysyłanie komunikatów do centrów zdarzeń w przestrzeni nazw usługi Event Hubs. Należy również wykonać następujące czynności:
|
| Usługa Azure API Management | Usługa API Management umożliwia wysyłanie zdarzeń do centrum zdarzeń w przestrzeni nazw usługi Event Hubs.
|
| Azure Monitor (ustawienia diagnostyczne i grupy akcji) | Umożliwia usłudze Azure Monitor wysyłanie informacji diagnostycznych i powiadomień o alertach do centrów zdarzeń w przestrzeni nazw usługi Event Hubs. Usługa Azure Monitor może odczytywać dane z centrum zdarzeń, a także zapisywać dane w centrum zdarzeń. |
| Azure Synapse | Umożliwia usłudze Azure Synapse łączenie się z centrum zdarzeń przy użyciu tożsamości zarządzanej obszaru roboczego usługi Synapse. Dodaj rolę Nadawca, Odbiorca lub Właściciel usługi Azure Event Hubs do tożsamości w przestrzeni nazw usługi Event Hubs. |
| Azure Data Explorer | Umożliwia usłudze Azure Data Explorer odbieranie zdarzeń z centrum zdarzeń przy użyciu tożsamości zarządzanej klastra. Należy wykonać następujące czynności:
|
| Azure IoT Central | Umożliwia usłudze IoT Central eksportowanie danych do centrów zdarzeń w przestrzeni nazw usługi Event Hubs. Należy również wykonać następujące czynności:
|
| Azure Health Data Services | Umożliwia łącznikowi IoT dla usług Healthcare APIs pozyskiwanie danych urządzeń medycznych z przestrzeni nazw usługi Event Hubs i utrwalanie danych w skonfigurowanej usłudze Fast Healthcare Interoperability Resources (FHIR®). Łącznik IoT należy skonfigurować tak, aby korzystał z tożsamości zarządzanej w celu uzyskania dostępu do centrum zdarzeń. Aby uzyskać więcej informacji, zobacz Wprowadzenie do łącznika IoT — Interfejsy API usługi Azure Healthcare. |
| Azure Digital Twins | Umożliwia usłudze Azure Digital Twins wyjście danych do centrów zdarzeń w przestrzeni nazw usługi Event Hubs. Należy również wykonać następujące czynności:
|
Inne zaufane usługi dla usługi Azure Event Hubs można znaleźć poniżej:
- Azure Arc
- Azure Kubernetes
- Azure Machine Learning
- Microsoft Purview
Aby zezwolić zaufanym usługom na dostęp do przestrzeni nazw, przejdź do karty Dostęp publiczny na stronie Sieć i wybierz pozycję Tak w polu Zezwalaj na zaufane usługi firmy Microsoft obejście tej zapory?.
Dodawanie prywatnego punktu końcowego przy użyciu programu PowerShell
W poniższym przykładzie pokazano, jak utworzyć połączenie prywatnego punktu końcowego przy użyciu programu Azure PowerShell. Nie tworzy dedykowanego klastra. Wykonaj kroki opisane w tym artykule , aby utworzyć dedykowany klaster usługi Event Hubs.
$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VIRTUAL NETWORK LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"
# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation
# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
-ResourceGroupName $rgName `
-Location $vnetlocation `
-Name $vnetName `
-AddressPrefix 10.0.0.0/16
# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
-Name $subnetName `
-AddressPrefix 10.0.0.0/24 `
-PrivateEndpointNetworkPoliciesFlag "Disabled" `
-VirtualNetwork $virtualNetwork
# update virtual network
$virtualNetwork | Set-AzVirtualNetwork
# create an event hubs namespace in a dedicated cluster
$namespaceResource = New-AzResource -Location $namespaceLocation `
-ResourceName $namespaceName `
-ResourceGroupName $rgName `
-Sku @{name = "Standard"; capacity = 1} `
-Properties @{clusterArmId = "/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventHub/clusters/<EVENT HUBS CLUSTER NAME>"} `
-ResourceType "Microsoft.EventHub/namespaces" -ApiVersion "2018-01-01-preview"
# create private endpoint connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
-Name $peConnectionName `
-PrivateLinkServiceId $namespaceResource.ResourceId `
-GroupId "namespace"
# get subnet object that you'll use later
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
| Where-Object {$_.Name -eq $subnetName}
# create a private endpoint
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName `
-Name $vnetName `
-Location $vnetlocation `
-Subnet $subnet `
-PrivateLinkServiceConnection $privateEndpointConnection
(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties
Konfigurowanie prywatnej strefy DNS
Utwórz prywatną strefę DNS dla domeny usługi Event Hubs i utwórz link skojarzenia z siecią wirtualną:
$zone = New-AzPrivateDnsZone -ResourceGroupName $rgName `
-Name "privatelink.servicebus.windows.net"
$link = New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $rgName `
-ZoneName "privatelink.servicebus.windows.net" `
-Name "mylink" `
-VirtualNetworkId $virtualNetwork.Id
$networkInterface = Get-AzResource -ResourceId $privateEndpoint.NetworkInterfaces[0].Id -ApiVersion "2019-04-01"
foreach ($ipconfig in $networkInterface.properties.ipConfigurations) {
foreach ($fqdn in $ipconfig.properties.privateLinkConnectionProperties.fqdns) {
Write-Host "$($ipconfig.properties.privateIPAddress) $($fqdn)"
$recordName = $fqdn.split('.',2)[0]
$dnsZone = $fqdn.split('.',2)[1]
New-AzPrivateDnsRecordSet -Name $recordName -RecordType A -ZoneName "privatelink.servicebus.windows.net" `
-ResourceGroupName $rgName -Ttl 600 `
-PrivateDnsRecords (New-AzPrivateDnsRecordConfig -IPv4Address $ipconfig.properties.privateIPAddress)
}
}
Zarządzanie prywatnymi punktami końcowymi przy użyciu witryny Azure Portal
Podczas tworzenia prywatnego punktu końcowego połączenie musi zostać zatwierdzone. Jeśli zasób, dla którego tworzysz prywatny punkt końcowy, znajduje się w katalogu, możesz zatwierdzić żądanie połączenia, pod warunkiem, że masz wystarczające uprawnienia. Jeśli łączysz się z zasobem platformy Azure w innym katalogu, musisz poczekać, aż właściciel tego zasobu zatwierdzi żądanie połączenia.
Istnieją cztery stany aprowizacji:
| Akcja w usłudze | Stan prywatnego punktu końcowego odbiorcy usługi | Opis |
|---|---|---|
| None | Oczekiwanie | Połączenie jest tworzone ręcznie i oczekuje na zatwierdzenie od właściciela zasobu usługi Private Link. |
| Zatwierdzanie | Zatwierdzona | Połączenie zostało automatycznie lub ręcznie zatwierdzone i jest gotowe do użycia. |
| Odrzuć | Odrzucona | Połączenie zostało odrzucone przez właściciela zasobu łącza prywatnego. |
| Usuń | Odłączony | Połączenie zostało usunięte przez właściciela zasobu łącza prywatnego. Prywatny punkt końcowy staje się informacyjny i powinien zostać usunięty w celu oczyszczenia. |
Zatwierdzanie, odrzucanie lub usuwanie prywatnego połączenia punktu końcowego
- Zaloguj się w witrynie Azure Portal.
- Na pasku wyszukiwania wpisz event hubs.
- Wybierz przestrzeń nazw, którą chcesz zarządzać.
- Wybierz kartę Sieć.
- Przejdź do odpowiedniej sekcji na podstawie operacji, którą chcesz: zatwierdzić, odrzucić lub usunąć.
Zatwierdzanie połączenia prywatnego punktu końcowego
Jeśli istnieją oczekujące połączenia, zostanie wyświetlone połączenie z komunikatem Oczekujące w stanie aprowizacji.
Wybierz prywatny punkt końcowy, który chcesz zatwierdzić
Wybierz przycisk Zatwierdź.
Na stronie Zatwierdzanie połączenia dodaj komentarz (opcjonalnie) i wybierz pozycję Tak. Jeśli wybierzesz pozycję Nie, nic się nie stanie.
Stan połączenia prywatnego punktu końcowego powinien zostać wyświetlony na liście zmieniony na Zatwierdzone.
Odrzucanie połączenia prywatnego punktu końcowego
Jeśli istnieją jakieś połączenia prywatnego punktu końcowego, które chcesz odrzucić, niezależnie od tego, czy jest to oczekujące żądanie, czy istniejące połączenie, wybierz połączenie i wybierz przycisk Odrzuć .
Na stronie Odrzuć połączenie wprowadź komentarz (opcjonalnie) i wybierz pozycję Tak. Jeśli wybierzesz pozycję Nie, nic się nie stanie.
Stan połączenia prywatnego punktu końcowego powinien zostać wyświetlony na liście zmieniony na Odrzucone.
Usuwanie połączenia prywatnego punktu końcowego
- Aby usunąć połączenie prywatnego punktu końcowego, wybierz je na liście, a następnie wybierz pozycję Usuń na pasku narzędzi.
- Na stronie Usuwanie połączenia wybierz pozycję Tak, aby potwierdzić usunięcie prywatnego punktu końcowego. Jeśli wybierzesz pozycję Nie, nic się nie stanie.
- Powinien zostać wyświetlony stan zmieniony na Rozłączone. Następnie punkt końcowy zniknie z listy.
Sprawdzanie, czy połączenie łącza prywatnego działa
Należy sprawdzić, czy zasoby w sieci wirtualnej prywatnego punktu końcowego łączą się z przestrzenią nazw usługi Event Hubs za pośrednictwem prywatnego adresu IP i że mają prawidłową integrację prywatnej strefy DNS.
Najpierw utwórz maszynę wirtualną, wykonując kroki opisane w temacie Tworzenie maszyny wirtualnej z systemem Windows w witrynie Azure Portal
Na karcie Sieć :
- Określ sieć wirtualną i podsieć. Musisz wybrać sieć wirtualną, w której wdrożono prywatny punkt końcowy.
- Określ zasób publicznego adresu IP.
- W polu Sieciowa grupa zabezpieczeń karty sieciowej wybierz pozycję Brak.
- W obszarze Równoważenie obciążenia wybierz pozycję Nie.
Połącz się z maszyną wirtualną, otwórz wiersz polecenia i uruchom następujące polecenie:
nslookup <event-hubs-namespace-name>.servicebus.windows.net
Powinien zostać wyświetlony wynik podobny do poniższego.
Non-authoritative answer:
Name: <event-hubs-namespace-name>.privatelink.servicebus.windows.net
Address: 10.0.0.4 (private IP address associated with the private endpoint)
Aliases: <event-hubs-namespace-name>.servicebus.windows.net
Ograniczenia i zagadnienia dotyczące projektowania
- Aby uzyskać informacje o cenach, zobacz Cennik usługi Azure Private Link.
- Ta funkcja jest dostępna we wszystkich regionach publicznych platformy Azure.
- Maksymalna liczba prywatnych punktów końcowych na przestrzeń nazw usługi Event Hubs: 120.
- Ruch jest blokowany w warstwie aplikacji, a nie w warstwie TCP. W związku z tym widzisz, że połączenia TCP lub
nslookupoperacje kończą się powodzeniem względem publicznego punktu końcowego, mimo że dostęp publiczny jest wyłączony.
Aby uzyskać więcej informacji, zobacz Azure Private Link Service: Limitations (Usługa Azure Private Link: ograniczenia)
Powiązana zawartość
- Dowiedz się więcej o usłudze Azure Private Link
- Dowiedz się więcej o usłudze Azure Event Hubs