Aceda ao Cofre da Chave numa rede privada através de terminais privados partilhados

Artigo
10/24/2023

O Serviço Azure SignalR pode aceder ao seu Cofre da Chave numa rede privada através de Pontos de Extremidade Privados Partilhados. Desta forma, o Cofre da Chave não fica exposto numa rede pública.

Diagram that shows the architecture of a shared private endpoint.

Você pode criar pontos de extremidade privados por meio das APIs do Serviço SignalR do Azure para acesso compartilhado a um recurso integrado ao serviço Azure Private Link. Esses pontos de extremidade, chamados recursos de link privado compartilhado, são criados dentro do ambiente de execução do SignalR e não são acessíveis fora desse ambiente.

Neste artigo, você aprenderá a criar um ponto de extremidade privado compartilhado para o Cofre de Chaves.

Pré-requisitos

Você precisará dos seguintes recursos para concluir este artigo:

Um grupo de recursos do Azure.
Uma instância do Serviço Azure SignalR.
Uma instância do Azure Key Vault.

Os exemplos neste artigo usam a seguinte convenção de nomenclatura, embora você possa usar seus próprios nomes.

A ID de recurso deste Serviço SignalR do Azure é /subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.SignalRService/signalr/contoso-signalr.
A ID de recurso do Azure Key Vault é /subscriptions/00000000-0000-0000-0000-00000000000/resourceGroups/contoso/providers/Microsoft.KeyVault/vaults/contoso-kv.
O restante dos exemplos mostra como o serviço contoso-signalr pode ser configurado para que suas chamadas de saída para o Cofre da Chave passem por um ponto de extremidade privado em vez de rede pública.

Criar um recurso de link privado compartilhado para o Cofre da Chave

Portal do Azure
CLI do Azure

No portal do Azure, vá para o recurso do Serviço Azure SignalR.
Selecione Rede.
Selecione a guia Acesso privado .

Selecione Adicionar ponto de extremidade privado compartilhado na seção Pontos de extremidade privados compartilhados.

Introduza as informações seguintes:

Campo	Descrição
Name	O nome do ponto de extremidade privado compartilhado.
Tipo	Selecione Microsoft.KeyVault/vaults
Subscrição	A subscrição que contém o Cofre da Chave.
Recurso	Introduza o nome do recurso Cofre da Chave.
Solicitar Mensagem	Digite "por favor aprove"

Selecione Adicionar.

Quando você tiver adicionado com êxito o ponto de extremidade privado, o estado de provisionamento será Bem-sucedido. O estado da conexão será Pendente até que você aprove o ponto de extremidade no lado do Cofre da Chave.

Faça a seguinte chamada de API com a CLI do Azure para criar um recurso de link privado compartilhado:

az rest --method put --uri https://management.azure.com/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.SignalRService/signalr/contoso-signalr/sharedPrivateLinkResources/kv-pe?api-version=2021-06-01-preview --body @create-pe.json

O conteúdo do arquivo create-pe.json , que representa o corpo da solicitação para a API, é o seguinte:

{
      "name": "contoso-kv",
      "properties": {
        "privateLinkResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.KeyVault/vaults/contoso-kv",
        "groupId": "vault",
        "requestMessage": "please approve"
      }
}

O processo de criação de um ponto de extremidade privado de saída é uma operação de longa execução (assíncrona). Como em todas as operações assíncronas do Azure, a PUT chamada retorna um Azure-AsyncOperation valor de cabeçalho semelhante ao seguinte texto:

"Azure-AsyncOperation": "https://management.azure.com/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.SignalRService/signalr/contoso-signalr/operationStatuses/c0786383-8d5f-4554-8d17-f16fcf482fb2?api-version=2021-06-01-preview"

Você pode sondar esse URI periodicamente para obter o status da operação.

Você pode pesquisar o status consultando manualmente o Azure-AsyncOperationHeader valor:

az rest --method get --uri https://management.azure.com/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.SignalRService/signalr/contoso-signalr/operationStatuses/c0786383-8d5f-4554-8d17-f16fcf482fb2?api-version=2021-06-01-preview

Aguarde até que o status mude para Êxito antes de prosseguir para as próximas etapas.

Aprovar a conexão de ponto de extremidade privado para o Cofre da Chave

Portal do Azure
CLI do Azure

Vá para o recurso Key Vault
Selecione a opção Rede.
Selecione a guia Private endpoint connections . Depois que a operação assíncrona for bem-sucedida, deve haver uma solicitação para uma conexão de ponto de extremidade privada com a mensagem de solicitação da chamada de API anterior.
Selecione o ponto de extremidade privado que o Serviço SignalR criou e, em seguida, selecione Aprovar.
Selecione Sim para aprovar a conexão.

Listar conexões de ponto de extremidade privadas.

az network private-endpoint-connection list -n <key-vault-resource-name>  -g <key-vault-resource-group-name> --type 'Microsoft.KeyVault/vaults'

Deve haver uma conexão de ponto de extremidade privada pendente. Anote o seu ID.

[
    {
        "id": "<id>",
        "location": "",
        "name": "",
        "properties": {
            "privateLinkServiceConnectionState": {
                "actionRequired": "None",
                "description": "Please approve",
                "status": "Pending"
           }
        }
    }
]

Aprove a conexão de ponto de extremidade privado:

az network private-endpoint-connection approve --id <private-endpoint-connection-id>

Verifique se o ponto de extremidade privado compartilhado está funcional

Após alguns minutos, a aprovação é propagada para o Serviço SignalR e o estado da conexão é definido como Aprovado. Você pode verificar o estado usando o portal do Azure ou a CLI do Azure.

Portal do Azure
CLI do Azure

az rest --method get --uri https://management.azure.com/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.SignalRService/signalr/contoso-signalr/sharedPrivateLinkResources/func-pe?api-version=2021-06-01-preview

O comando retornará um objeto JSON, onde o estado da conexão é mostrado como "status" na seção "properties".

{
      "name": "contoso-kv",
      "properties": {
        "privateLinkResourceId": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/contoso/providers/Microsoft.KeyVault/vaults/contoso-kv",
        "groupId": "vaults",
        "requestMessage": "please approve",
        "status": "Approved",
        "provisioningState": "Succeeded"
      }
}

Quando o "Estado de provisionamento" () do recurso é e "Estado de conexão" (properties.provisioningStateproperties.status) é , o recurso de link privado compartilhado é SucceededApprovedfuncional e o serviço SignalR pode se comunicar através do ponto de extremidade privado.

Quando o ponto de extremidade privado entre o Serviço SignalR e o Cofre de Chaves do Azure é funcional, o valor do estado de provisionamento é Bem-sucedido e o estado da conexão é Aprovado.

Limpeza

Se não planeia utilizar os recursos que criou neste artigo, pode eliminar o Grupo de Recursos.

Atenção

A exclusão do grupo de recursos exclui todos os recursos contidos nele. Se existirem recursos fora do escopo deste artigo no grupo de recursos especificado, eles também serão excluídos.

Share via