Tworzenie komunikacji równorzędnej sieci wirtualnej — Resource Manager, różne subskrypcje i dzierżawy usługi Azure Active Directory
Artykuł
Z tego samouczka dowiesz się, jak utworzyć komunikację równorzędną sieci wirtualnych między sieciami wirtualnymi utworzonymi za pośrednictwem Resource Manager. Sieci wirtualne istnieją w różnych subskrypcjach, które mogą należeć do różnych dzierżaw usługi Azure Active Directory (Azure AD). Komunikacja równorzędna dwóch sieci wirtualnych umożliwia zasobom w różnych sieciach wirtualnych komunikowanie się ze sobą z tą samą przepustowością i opóźnieniem, tak jakby zasoby znajdowały się w tej samej sieci wirtualnej. Dowiedz się więcej o komunikacji równorzędnej sieci wirtualnych.
W zależności od tego, czy sieci wirtualne znajdują się w tej samej subskrypcji, czy w różnych subskrypcjach kroki tworzenia komunikacji równorzędnej sieci wirtualnych różnią się. Kroki tworzenia sieci równorzędnych za pomocą klasycznego modelu wdrażania różnią się. Aby uzyskać więcej informacji na temat modeli wdrażania, zobacz Model wdrażania platformy Azure.
Dowiedz się, jak utworzyć komunikację równorzędną sieci wirtualnych w innych scenariuszach, wybierając scenariusz z poniższej tabeli:
Nie można utworzyć komunikacji równorzędnej sieci wirtualnych między dwiema sieciami wirtualnymi wdrożoną za pośrednictwem klasycznego modelu wdrażania. Jeśli musisz połączyć sieci wirtualne, które zostały utworzone za pomocą klasycznego modelu wdrażania, możesz użyć usługi Azure VPN Gateway do połączenia sieci wirtualnych.
Konto platformy Azure z uprawnieniami w obu subskrypcjach lub koncie w każdej subskrypcji z odpowiednimi uprawnieniami do tworzenia komunikacji równorzędnej sieci wirtualnej. Aby uzyskać listę uprawnień, zobacz Uprawnienia komunikacji równorzędnej sieci wirtualnych.
Aby oddzielić obowiązek zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z każdej dzierżawy jako gościa w przeciwnej dzierżawie i przypisz im rolę Współautor sieci do sieci wirtualnej. Ta procedura ma zastosowanie, jeśli sieci wirtualne znajdują się w różnych subskrypcjach i dzierżawach usługi Active Directory.
Aby ustanowić komunikację równorzędną sieci, jeśli nie zamierzasz rozdzielić obowiązku zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z dzierżawy A jako gościa w przeciwnej dzierżawie. Następnie przypisz im rolę Współautor sieci, aby zainicjować i połączyć komunikację równorzędną sieci z każdej subskrypcji. Dzięki tym uprawnieniom użytkownik może ustanowić komunikację równorzędną sieci z każdej subskrypcji.
Konto platformy Azure z uprawnieniami w obu subskrypcjach lub koncie w każdej subskrypcji z odpowiednimi uprawnieniami do tworzenia komunikacji równorzędnej sieci wirtualnej. Aby uzyskać listę uprawnień, zobacz Uprawnienia komunikacji równorzędnej sieci wirtualnych.
Aby oddzielić obowiązek zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z każdej dzierżawy jako gościa w przeciwnej dzierżawie i przypisz im rolę Współautor sieci do sieci wirtualnej. Ta procedura ma zastosowanie, jeśli sieci wirtualne znajdują się w różnych subskrypcjach i dzierżawach usługi Active Directory.
Aby ustanowić komunikację równorzędną sieci, jeśli nie zamierzasz rozdzielić obowiązku zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z dzierżawy A jako gościa w przeciwnej dzierżawie. Następnie przypisz im rolę Współautor sieci, aby zainicjować i połączyć komunikację równorzędną sieci z każdej subskrypcji. Dzięki tym uprawnieniom użytkownik może ustanowić komunikację równorzędną sieci z każdej subskrypcji.
Każdy użytkownik musi zaakceptować zaproszenie użytkownika-gościa od przeciwległej dzierżawy usługi Azure Active Directory.
Azure PowerShell zainstalowane lokalnie lub azure Cloud Shell.
Zaloguj się, aby Azure PowerShell i upewnij się, że wybrano subskrypcję, z którą chcesz korzystać z tej funkcji. Aby uzyskać więcej informacji, zobacz Logowanie się przy użyciu Azure PowerShell.
Az.Network Upewnij się, że moduł jest w wersji 4.3.0 lub nowszej. Aby sprawdzić zainstalowany moduł, użyj polecenia Get-InstalledModule -Name "Az.Network". Jeśli moduł wymaga aktualizacji, użyj polecenia Update-Module -Name Az.Network w razie potrzeby.
Jeśli postanowisz zainstalować program PowerShell i używać go lokalnie, ten artykuł wymaga modułu Azure PowerShell w wersji 5.4.1 lub nowszej. Uruchom polecenie Get-Module -ListAvailable Az, aby dowiedzieć się, jaka wersja jest zainstalowana. Jeśli konieczne będzie uaktualnienie, zobacz Instalowanie modułu Azure PowerShell. Jeśli używasz programu PowerShell lokalnie, musisz też uruchomić polecenie Connect-AzAccount, aby utworzyć połączenie z platformą Azure.
Konto platformy Azure z uprawnieniami w obu subskrypcjach lub koncie w każdej subskrypcji z odpowiednimi uprawnieniami do tworzenia komunikacji równorzędnej sieci wirtualnej. Aby uzyskać listę uprawnień, zobacz Uprawnienia komunikacji równorzędnej sieci wirtualnych.
Aby oddzielić obowiązek zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z każdej dzierżawy jako gościa w przeciwnej dzierżawie i przypisz im rolę Współautor sieci do sieci wirtualnej. Ta procedura ma zastosowanie, jeśli sieci wirtualne znajdują się w różnych subskrypcjach i dzierżawach usługi Active Directory.
Aby ustanowić komunikację równorzędną sieci, jeśli nie zamierzasz rozdzielić obowiązku zarządzania siecią należącą do każdej dzierżawy, dodaj użytkownika z dzierżawy A jako gościa w przeciwnej dzierżawie. Następnie przypisz im rolę Współautor sieci, aby zainicjować i połączyć komunikację równorzędną sieci z każdej subskrypcji. Dzięki tym uprawnieniom użytkownik może ustanowić komunikację równorzędną sieci z każdej subskrypcji.
Jeśli wolisz uruchamiać polecenia referencyjne interfejsu wiersza polecenia lokalnie, zainstaluj interfejs wiersza polecenia platformy Azure. Jeśli korzystasz z systemu Windows lub macOS, rozważ uruchomienie interfejsu wiersza polecenia platformy Azure w kontenerze Docker. Aby uzyskać więcej informacji, zobacz Jak uruchomić interfejs wiersza polecenia platformy Azure w kontenerze platformy Docker.
Jeśli korzystasz z instalacji lokalnej, zaloguj się do interfejsu wiersza polecenia platformy Azure za pomocą polecenia az login. Aby ukończyć proces uwierzytelniania, wykonaj kroki wyświetlane w terminalu. Aby uzyskać informacje o innych opcjach logowania, zobacz Logowanie się przy użyciu interfejsu wiersza polecenia platformy Azure.
Uruchom polecenie az version, aby znaleźć zainstalowane wersje i biblioteki zależne. Aby uaktualnić do najnowszej wersji, uruchom polecenie az upgrade.
Ten artykuł z instrukcjami wymaga wersji 2.31.0 lub nowszej interfejsu wiersza polecenia platformy Azure. Jeśli korzystasz z usługi Azure Cloud Shell, najnowsza wersja jest już zainstalowana.
W poniższych krokach dowiesz się, jak połączyć równorzędne sieci wirtualne w różnych subskrypcjach i dzierżawach usługi Azure Active Directory.
Możesz użyć tego samego konta, które ma uprawnienia w obu subskrypcjach, lub użyć oddzielnych kont dla każdej subskrypcji, aby skonfigurować komunikację równorzędną. Konto z uprawnieniami w obu subskrypcjach może wykonać wszystkie kroki bez wylogowywania się i logowania do portalu oraz przypisywania uprawnień.
Następujące zasoby i przykłady kont są używane w krokach opisanych w tym artykule:
Konto użytkownika
Grupa zasobów
Subskrypcja
Sieć wirtualna
Usera
myResourceGroupA
SubskrypcjaA
myVNetA
Userb
myResourceGroupB
SubskrypcjaB
myVNetB
Tworzenie sieci wirtualnej — myVNetA
Uwaga
Jeśli używasz pojedynczego konta do wykonania tych kroków, możesz pominąć kroki w celu wylogowania się z portalu i przypisania innego użytkownika uprawnień do sieci wirtualnych.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionA przy użyciu polecenia Set-AzContext.
Set-AzContext -Subscription SubscriptionA
Tworzenie grupy zasobów — myResourceGroupA
Grupa zasobów platformy Azure to logiczny kontener, w którym zasoby platformy Azure są wdrażane i zarządzane.
Utwórz sieć wirtualną przy użyciu polecenia New-AzVirtualNetwork. W tym przykładzie jest tworzona domyślna sieć wirtualna o nazwie myVNetA w lokalizacji Zachodnie stany USA 3 :
Zasoby platformy Azure są wdrażane w podsieci sieci wirtualnej, dlatego należy utworzyć podsieć. Utwórz konfigurację podsieci o nazwie domyślna za pomocą polecenia Add-AzVirtualNetworkSubnetConfig:
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionA przy użyciu polecenia az account set.
az account set --subscription "SubscriptionA"
Tworzenie grupy zasobów — myResourceGroupA
Grupa zasobów platformy Azure to logiczny kontener, w którym zasoby platformy Azure są wdrażane i zarządzane.
az group create \
--name myResourceGroupA \
--location westus3
Tworzenie sieci wirtualnej
Utwórz sieć wirtualną i podsieć za pomocą polecenia az network vnet create. W tym przykładzie jest tworzona domyślna sieć wirtualna o nazwie myVNetA w lokalizacji Zachodnie stany USA 3 .
Konto użytkownika w innej subskrypcji, z którą chcesz pracować równorzędnie, musi zostać dodane do wcześniej utworzonej sieci. Jeśli używasz jednego konta dla obu subskrypcji, możesz pominąć tę sekcję.
Użyj polecenia Get-AzADUser , aby uzyskać identyfikator obiektu dla użytkownika B.
Użytkownik B jest używany w tym przykładzie dla konta użytkownika. Zastąp tę wartość nazwą wyświetlaną użytkownika z subskrypcjiB , którą chcesz przypisać do sieci myVNetA. Ten krok można pominąć, jeśli używasz tego samego konta dla obu subskrypcji.
Użytkownik B jest używany w tym przykładzie dla konta użytkownika. Zastąp tę wartość nazwą wyświetlaną użytkownika z subskrypcjiB , którą chcesz przypisać do sieci myVNetA. Ten krok można pominąć, jeśli używasz tego samego konta dla obu subskrypcji.
Pozostanie zalogowanym do portalu jako UżytkownikA.
W polu wyszukiwania w górnej części portalu wprowadź wartość Sieć wirtualna. Wybierz pozycję Sieci wirtualne w wynikach wyszukiwania.
Wybierz pozycję myVNetA.
W obszarze Ustawienia wybierz pozycję Właściwości.
Skopiuj informacje w polu Identyfikator zasobu i zapisz je w kolejnych krokach. Identyfikator zasobu jest podobny do następującego przykładu: /subscriptions/<Subscription Id>/resourceGroups/myResourceGroupA/providers/Microsoft.Network/virtualNetworks/myVnetA.
Wyloguj się z portalu jako UżytkownikA.
Identyfikator zasobu myVNetA jest wymagany do skonfigurowania połączenia komunikacji równorzędnej z sieci myVNetB do myVNetA. Użyj polecenia Get-AzVirtualNetwork , aby uzyskać identyfikator zasobu myVNetA.
Identyfikator zasobu myVNetA jest wymagany do skonfigurowania połączenia komunikacji równorzędnej z sieci myVNetB do myVNetA. Użyj polecenia az network vnet show , aby uzyskać identyfikator zasobu dla sieci myVNetA.
vnetidA=$(az network vnet show \
--name myVNetA \
--resource-group myResourceGroupA \
--query id \
--output tsv)
echo $vnetidA
Tworzenie sieci wirtualnej — myVNetB
W tej sekcji zalogujesz się jako UżytkownikB i utworzysz sieć wirtualną dla połączenia komunikacji równorzędnej z siecią myVNetA.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionB za pomocą polecenia Set-AzContext.
Set-AzContext -Subscription SubscriptionB
Tworzenie grupy zasobów — myResourceGroupB
Grupa zasobów platformy Azure to logiczny kontener, w którym zasoby platformy Azure są wdrażane i zarządzane.
Utwórz sieć wirtualną przy użyciu polecenia New-AzVirtualNetwork. W tym przykładzie zostanie utworzona domyślna sieć wirtualna o nazwie myVNetB w lokalizacji Zachodnie stany USA 3 :
Zasoby platformy Azure są wdrażane w podsieci sieci wirtualnej, dlatego należy utworzyć podsieć. Utwórz konfigurację podsieci o nazwie domyślna za pomocą polecenia Add-AzVirtualNetworkSubnetConfig:
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionB za pomocą polecenia az account set.
az account set --subscription "SubscriptionB"
Tworzenie grupy zasobów — myResourceGroupB
Grupa zasobów platformy Azure to logiczny kontener, w którym zasoby platformy Azure są wdrażane i zarządzane.
az group create \
--name myResourceGroupB \
--location westus3
Tworzenie sieci wirtualnej
Utwórz sieć wirtualną i podsieć za pomocą polecenia az network vnet create. W tym przykładzie tworzona jest domyślna sieć wirtualna o nazwie myVNetB w lokalizacji Zachodnie stany USA 3 .
Konto użytkownika w innej subskrypcji, z którą chcesz pracować równorzędnie, musi zostać dodane do utworzonej wcześniej sieci. Jeśli używasz jednego konta dla obu subskrypcji, możesz pominąć tę sekcję.
Użyj polecenia Get-AzADUser , aby uzyskać identyfikator obiektu userA.
Usługa UserA jest używana w tym przykładzie dla konta użytkownika. Zastąp tę wartość nazwą wyświetlaną użytkownika z subskrypcjiA , którą chcesz przypisać do myVNetB. Ten krok można pominąć, jeśli używasz tego samego konta dla obu subskrypcji.
Usługa UserA jest używana w tym przykładzie dla konta użytkownika. Zastąp tę wartość nazwą wyświetlaną użytkownika z subskrypcjiA , którą chcesz przypisać do myVNetB. Ten krok można pominąć, jeśli używasz tego samego konta dla obu subskrypcji.
Zanotuj identyfikator obiektu UserA w identyfikatorze pola. W tym przykładzie jest to ee0645cc-e439-4ffc-b956-79577e4773969.
vnetid=$(az network vnet show \
--name myVNetB \
--resource-group myResourceGroupB \
--query id \
--output tsv)
az role assignment create \
--assignee ee0645cc-e439-4ffc-b956-79577e473969 \
--role "Network Contributor" \
--scope $vnetid
Uzyskiwanie identyfikatora zasobu myVNetB
Identyfikator zasobu myVNetB jest wymagany do skonfigurowania połączenia komunikacji równorzędnej z sieci myVNetA do myVNetB. Wykonaj poniższe kroki, aby uzyskać identyfikator zasobu myVNetB.
Pozostanie zalogowanym do portalu jako użytkownikB.
W polu wyszukiwania w górnej części portalu wprowadź wartość Sieć wirtualna. Wybierz pozycję Sieci wirtualne w wynikach wyszukiwania.
Wybierz pozycję myVNetB.
W obszarze Ustawienia wybierz pozycję Właściwości.
Skopiuj informacje w polu Identyfikator zasobu i zapisz je w kolejnych krokach. Identyfikator zasobu jest podobny do następującego przykładu: /subscriptions/<Subscription Id>/resourceGroups/myResourceGroupB/providers/Microsoft.Network/virtualNetworks/myVnetB.
Wyloguj się z portalu jako użytkownikB.
Identyfikator zasobu myVNetB jest wymagany do skonfigurowania połączenia komunikacji równorzędnej z sieci myVNetA do myVNetB. Użyj polecenia Get-AzVirtualNetwork , aby uzyskać identyfikator zasobu dla sieci myVNetB.
Identyfikator zasobu myVNetB jest wymagany do skonfigurowania połączenia komunikacji równorzędnej z sieci myVNetA do myVNetB. Użyj polecenia az network vnet show , aby uzyskać identyfikator zasobu dla sieci myVNetB.
vnetidB=$(az network vnet show \
--name myVNetB \
--resource-group myResourceGroupB \
--query id \
--output tsv)
echo $vnetidB
Tworzenie połączenia komunikacji równorzędnej — myVNetA do sieci myVNetB
Aby skonfigurować połączenie komunikacji równorzędnej, potrzebny jest identyfikator zasobumyVNetB z poprzednich kroków.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionA za pomocą polecenia Set-AzContext.
Set-AzContext -Subscription SubscriptionA
Zaloguj się do subskrypcjiB
Uwierzytelnij się w usłudze SubscriptionB , aby można było skonfigurować komunikację równorzędną.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionA za pomocą polecenia az account set.
az account set --subscription "SubscriptionA"
Zaloguj się do subskrypcjiB
Uwierzytelnij się w usłudze SubscriptionB , aby można było skonfigurować komunikację równorzędną.
az network vnet peering list \
--resource-group myResourceGroupA \
--vnet-name myVNetA \
--output table
Połączenie komunikacji równorzędnej jest wyświetlane w obszarze Komunikacja równorzędna w stanie zainicjowanym . Aby ukończyć komunikację równorzędną, należy skonfigurować odpowiednie połączenie w sieci myVNetB.
Tworzenie połączenia komunikacji równorzędnej — myVNetB do sieci myVNetA
Aby skonfigurować połączenie komunikacji równorzędnej, potrzebne są identyfikatory zasobów dla sieci myVNetA z poprzednich kroków.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionB przy użyciu polecenia Set-AzContext.
Set-AzContext -Subscription SubscriptionB
Zaloguj się do subskrypcjiA
Uwierzytelnij się w subskrypcjiA , aby można było skonfigurować komunikację równorzędną.
Jeśli używasz jednego konta dla obu subskrypcji, zaloguj się do tego konta i zmień kontekst subskrypcji na SubscriptionB przy użyciu polecenia az account set.
az account set --subscription "SubscriptionB"
Zaloguj się do subskrypcjiA
Uwierzytelnij się w subskrypcjiA , aby można było skonfigurować komunikację równorzędną.
az network vnet peering list \
--resource-group myResourceGroupB \
--vnet-name myVNetB \
--output table
Komunikacja równorzędna została pomyślnie nawiązana po wyświetleniu komunikatu Połączono w kolumnie Stan komunikacji równorzędnej dla obu sieci wirtualnych w komunikacji równorzędnej. Wszystkie zasoby platformy Azure utworzone w obu sieciach wirtualnych mogą teraz komunikować się ze sobą za pośrednictwem ich adresów IP. Jeśli używasz domyślnego rozpoznawania nazw platformy Azure dla sieci wirtualnych, zasoby w sieciach wirtualnych nie mogą rozpoznawać nazw w sieciach wirtualnych. Jeśli chcesz rozpoznawać nazwy między sieciami wirtualnymi w komunikacji równorzędnej, musisz utworzyć własny serwer DNS lub użyć usługi Azure DNS.