Usar Link Privado (versão prévia)

Este artigo descreve como usar o Link Privado para restringir o acesso ao gerenciamento de recursos em suas assinaturas. O Link Privado permite que você acesse os Serviços do Azure em um ponto de extremidade privado na sua rede virtual. Isso evita a exposição do serviço à internet pública.

Este artigo descreve o processo de instalação do Link Privado usando o portal do Azure.

Importante

Você pode habilitar esse recurso em camadas, por uma taxa adicional.

Observação

A capacidade de usar links privados com os Hubs de Notificação do Azure está atualmente em versão prévia. Se você estiver interessado em usar esse recurso, entre em contato com o gerente de sucesso do cliente na Microsoft ou crie um tíquete de Suporte do Azure.

Criar um ponto de extremidade privado junto com um novo hub de notificação no portal

O procedimento a seguir cria um ponto de extremidade privado junto com um novo hub de notificação usando o portal do Azure:

1. Crie um novo hub de notificação e selecione a guia Rede.

2. Selecione Acesso privado e, em seguida, selecione Criar.

   

3. Preencha a assinatura, o grupo de recursos, o local e um nome para o novo ponto de extremidade privado. Escolha uma rede virtual e uma sub-rede. Em Integrar com zona DNS privada, selecione Sim e digite privatelink.notificationhubs.windows.net na caixa Zona DNS privada.

   

4. Selecione OK para ver a confirmação da criação de namespace e hub com um ponto de extremidade privado.

5. Selecione Criar para criar o hub de notificação com uma conexão de ponto de extremidade privada.

   

Criar um ponto de extremidade privado para um hub de notificação existente no portal

1. No portal, no lado esquerdo, na seção Segurança + rede, selecione Hubs de notificação e selecione Rede.

2. Selecione a guia Acesso privado.

   

3. Preencha a assinatura, o grupo de recursos, o local e um nome para o novo ponto de extremidade privado. Escolha uma rede virtual e sub-rede. Selecione Criar.

   

Criar um ponto de extremidade privado usando a CLI

1. Entre na CLI do Azure e defina uma assinatura:

   az login
   az account set --subscription <azure_subscription_id>
   

2. Criar um grupo de recursos:

   az group create -n <resource_group_name> -l <azure_region>
   

3. Registre Microsoft.NotificationHubs como provedor:

   az provider register -n Microsoft.NotificationHubs
   

4. Crie um novo namespace e hub dos Hubs de Notificação:

   az notification-hub namespace create 
        --name <namespace_name>
        --resource-group <resource_group_name>
        --location <azure_region>
        --sku "Standard"
   
    az notification-hub create 
        --name <notification_hub_name>
        --namespace-name <namespace_name>
        --resource-group <resource_group_name>
        --location <azure_region>
   

5. Crie uma rede virtual com uma sub-rede:

   az network vnet create
        --resource-group <resource_group_name>
        --name <vNet name>
        --location <azure_region>
   
   az network vnet subnet create
        --resource-group <resource_group_name>
        --vnet-name <vNet_name>
        --name <subnet_name>
        --address-prefixes <address_prefix>
   

6. Desative as diretivas de rede virtual:

   az network vnet subnet update
        --name <subnet_name>
        --resource-group <resource_group_name>
        --vnet-name <vNet_name>
        --disable-private-endpoint-network-policies true
   

7. Adicione zonas DNS privadas e vincule-as a uma rede virtual:

   az network private-dns zone create
        --resource-group <resource_group_name>
        --name privatelink.servicebus.windows.net
   
   az network private-dns zone create
        --resource-group <resource_group_name>
        --name privatelink.notoficationhub.windows.net
   
   az network private-dns link vnet create
        --resource-group <resource_group_name>
        --virtual-network <vNet_name>
        --zone-name privatelink.servicebus.windows.net 
        --name <dns_zone_link_name>
        --registration-enabled true
   
   az network private-dns link vnet create
        --resource-group <resource_group_name>
        --virtual-network <vNet_name>
        --zone-name privatelink.notificationhub.windows.net 
        --name <dns_zone_link_name>
        --registration-enabled true
   

8. Crie um ponto de extremidade privado (aprovado automaticamente):

   az network private-endpoint create
        --resource-group <resource_group_name>
        --vnet-name <vNet_name>
        --subnet <subnet_name>
        --name <private_endpoint_name>  
        --private-connection-resource-id "/subscriptions/<azure_subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.NotificationHubs/namespaces/<namespace_name>" 
        --group-ids namespace 
        --connection-name <private_link_connection_name>
        --location <azure-region>
   

9. Crie um ponto de extremidade privado (com aprovação de solicitação manual):

   az network private-endpoint create
        --resource-group <resource_group_name>
        --vnet-name <vnet_name>
        --subnet <subnet_name>
        --name <private_endpoint_name>
        --private-connection-resource-id "/subscriptions/<azure_subscription_id>/resourceGroups/<resource_group_name>/providers/Microsoft.NotificationHubs/namespaces/<namespace_name>" 
        --group-ids namespace
        --connection-name <private_link_connection_name>
        --location <azure-region>
        --manual-request
   

10. Mostrar o status da conexão:

    az network private-endpoint show --resource-group <resource_group_name> --name <private_endpoint_name>
    

Gerenciar pontos de extremidade privados usando o portal

Quando você cria um ponto de extremidade privado, a conexão deve ser aprovada. Se o recurso para o qual você está criando um ponto de extremidade privado estiver em seu diretório, você poderá aprovar a solicitação de conexão, desde que tenha permissões suficientes. Se estiver se conectando a um recurso do Azure em outro diretório, você deve aguardar o proprietário desse recurso aprovar a sua solicitação de conexão.

Há quatro estados de provisionamento:

Ação de serviço	Estado de ponto de extremidade privado do consumidor do serviço	Descrição
Nenhum	Pendente	A conexão é criada manualmente e está pendente de aprovação do proprietário do recurso de link privado.
Aprovar	Aprovado	A conexão foi aprovada automaticamente ou manualmente e está pronta para ser usada.
Rejeitar	Rejeitado	A conexão foi rejeitada pelo proprietário do recurso do link privado.
Remover	Desconectado	A conexão foi removida pelo proprietário do recurso do link privado. O ponto de extremidade privado se torna informativo e deve ser excluído para limpeza.

Aprovação, rejeição ou remoção de uma conexão de ponto de extremidade privado

1. Entre no portal do Azure.
2. Na barra de pesquisa, digite Hubs de Notificação.
3. Selecione o namespace que você deseja gerenciar.
4. Selecione a guia Rede.
5. Vá para a seção apropriada com base na operação que você deseja aprovar, rejeitar ou remover.

Aprovação de uma conexão de ponto de extremidade privado

1. Se houver conexões pendentes, uma conexão será exibida com Pendente no estado de provisionamento.

2. Selecione o ponto de extremidade privado que você deseja aprovar.

3. Selecione Aprovar.

   

4. Na página Aprovar conexão insira um comentário opcional e selecione Sim. Se selecionar Não, nada acontecerá.

   

5. Você deve ver o status da conexão na lista mudar para Aprovado.

Rejeição de uma conexão de ponto de extremidade privado

1. Se houver conexões de ponto de extremidade privadas que você deseja rejeitar, seja uma solicitação pendente ou uma conexão existente aprovada anteriormente, selecione o ícone de conexão de ponto de extremidade e selecione Rejeitar.

   

2. Na página Rejeitar conexão insira um comentário opcional e selecione Sim. Se selecionar Não, nada acontecerá.

3. Você deve ver o status da conexão na lista mudar para Rejeitado.

Remoção de uma conexão de ponto de extremidade privado

1. Para remover uma conexão de ponto de extremidade privada, selecione-a na lista e selecione Remover na barra de ferramentas:

   

2. Na página Excluir conexão, selecione Sim para confirmar a exclusão do ponto de extremidade privado. Se selecionar Não, nada acontecerá.

3. Você deve ver o status da conexão na lista mudar para Desconectado. O ponto de extremidade então desaparece da lista.

Validar se a conexão de link privado funciona

Você deve validar se os recursos na rede virtual do ponto de extremidade privado estão se conectando ao namespace dos Hubs de Notificação por meio de um endereço IP privado e se eles têm a integração de zona DNS privada correta.

Primeiro, crie uma máquina virtual seguindo as etapas em Criar uma máquina virtual do Windows no portal do Azure.

Na guia Rede:

1. Especifique a Rede virtual e Sub-rede. Selecione a Rede Virtual na qual você implantou o ponto de extremidade privado.
2. Especifique um recurso de IP Público.
3. Para o Grupo de segurança de rede da NIC, selecione Nenhum.
4. Para o Balanceamento de carga, selecione Não.

Conecte-se à VM, abra uma linha de comando e execute o seguinte comando:

Resolve-DnsName <namespace_name>.privatelink.servicebus.windows.net

Quando o comando é executado a partir da VM, ele retorna o endereço IP da conexão de ponto de extremidade privada. Quando ele é executado a partir de uma rede externa, ele retorna o endereço IP público de um dos clusters de Hubs de Notificação.

Limitações e considerações de design

Limitações: esse recurso está disponível em todas as regiões públicas do Azure. Número máximo de pontos de extremidade privados por namespace dos Hubs de Notificação: 200

Para obter mais informações, consulte Serviço de Link Privado do Azure: limitações.

Próximas etapas

• Visão geral dos Hubs de Notificação do Azure