Proteger a Origem com Private Link no Azure Front Door Premium
Azure Private Link permite-lhe aceder aos serviços e serviços PaaS do Azure alojados no Azure através de um ponto final privado na sua rede virtual. O tráfego entre a rede virtual e o serviço passa pela rede principal da Microsoft, eliminando a exposição à Internet pública.
O Azure Front Door Premium pode ligar-se à sua origem com Private Link. A sua origem pode ser alojada numa rede virtual ou alojada como um serviço PaaS, como o Serviço de Aplicações do Azure ou o Armazenamento do Azure. Private Link elimina a necessidade de aceder publicamente à sua origem.
Como funciona o Private Link
Quando ativa Private Link à sua origem no Azure Front Door Premium, o Front Door cria um ponto final privado em seu nome a partir de uma rede privada regional gerida pelo Azure Front Door. Receberá um pedido de ponto final privado do Azure Front Door na origem, enquanto aguarda a aprovação.
Importante
Tem de aprovar a ligação de ponto final privado para que o tráfego possa passar para a origem em privado. Pode aprovar ligações de ponto final privado com o portal do Azure, a CLI do Azure ou Azure PowerShell. Para obter mais informações, veja Gerir uma ligação de Ponto Final Privado.
Depois de ativar uma origem para Private Link e aprovar a ligação de ponto final privado, a ligação pode demorar alguns minutos a ser estabelecida. Durante este período, os pedidos à origem receberão uma mensagem de erro do Azure Front Door. A mensagem de erro desaparece assim que a ligação for estabelecida.
Assim que o pedido for aprovado, é atribuído um endereço IP privado a partir da rede virtual gerida do Azure Front Door. O tráfego entre o Azure Front Door e a sua origem irá comunicar através da ligação privada estabelecida através da rede principal da Microsoft. O tráfego de entrada para a sua origem está agora protegido ao chegar ao Azure Front Door.
Associação de um ponto final privado com um perfil do Azure Front Door
Criação de pontos finais privados
Num único perfil do Azure Front Door, se duas ou mais origens ativadas Private Link forem criadas com o mesmo conjunto de Private Link, ID de recurso e ID de grupo, só é criado um ponto final privado para todas essas origens. As ligações ao back-end podem ser ativadas com este ponto final privado. Esta configuração significa que só tem de aprovar o ponto final privado uma vez porque só é criado um ponto final privado. Se criar mais Private Link origens ativadas com o mesmo conjunto de Private Link localização, ID de recurso e ID de grupo, deixará de ter de aprovar pontos finais privados.
Ponto final privado único
Por exemplo, é criado um único ponto final privado para todas as diferentes origens em diferentes grupos de origem, mas no mesmo perfil do Azure Front Door, conforme mostrado na tabela abaixo:
Vários pontos finais privados
É criado um novo ponto final privado no seguinte cenário:
Se a região, o ID do recurso ou o ID do grupo forem alterados:
Nota
O Private Link localização e o nome do anfitrião foram alterados, o que resulta em pontos finais privados adicionais criados e requer aprovação para cada um deles.
Quando o perfil do Azure Front Door for alterado:
Nota
Ativar Private Link para origens em diferentes perfis do Front Door irá criar pontos finais privados adicionais e requer aprovação para cada um deles.
Remoção de pontos finais privados
Quando um perfil do Azure Front Door é eliminado, os pontos finais privados associados ao perfil também serão eliminados.
Ponto final privado único
Se o AFD-Profile-1 for eliminado, o ponto final privado PE1 em todas as origens também será eliminado.
Vários pontos finais privados
Se o AFD-Profile-1 for eliminado, todos os pontos finais privados de PE1 a PE4 serão eliminados.
Eliminar um perfil do Front Door não afetará os pontos finais privados criados para um perfil do Front Door diferente.
Por exemplo:
- Se o AFD-Profile-2 for eliminado, apenas PE5 será removido.
- Se o AFD-Profile-3 for eliminado, apenas o PE6 será removido.
- Se o AFD-Profile-4 for eliminado, apenas PE7 será removido.
- Se o AFD-Profile-5 for eliminado, apenas PE8 será removido.
Disponibilidade de região
A ligação privada do Azure Front Door está disponível nas seguintes regiões:
América | Europa | África | Ásia-Pacífico |
---|---|---|---|
Sul do Brasil | França Central | Norte da África do Sul | Leste da Austrália |
Canadá Central | Alemanha Centro-Oeste | Índia Central | |
E.U.A. Central | Europa do Norte | Leste do Japão | |
E.U.A. Leste | Leste da Noruega | Coreia do Sul Central | |
E.U.A. Leste 2 | Sul do Reino Unido | Ásia Leste | |
E.U.A. Centro-Sul | Europa Ocidental | ||
EUA Oeste 3 | Suécia Central |
Limitações
O suporte de origem para conectividade de ponto final privado direto está atualmente limitado a:
- Armazenamento (Blobs do Azure)
- Serviços Aplicacionais
- Balanceadores de carga internos ou quaisquer serviços que exponham balanceadores de carga internos, como Azure Kubernetes Service, Azure Container Apps ou Azure Red Hat OpenShift
- Site Estático de Armazenamento
A funcionalidade Private Link do Azure Front Door é agnóstica de região, mas, para obter a melhor latência, deve sempre escolher uma região do Azure mais próxima da sua origem ao optar por ativar o Azure Front Door Private Link ponto final.
Passos seguintes
- Saiba como ligar o Azure Front Door Premium a uma origem Serviço de Aplicações com Private Link.
- Saiba como ligar o Azure Front Door Premium a uma origem de conta de armazenamento com Private Link.
- Saiba como ligar o Azure Front Door Premium a uma origem de balanceador de carga interno com Private Link.
- Saiba como ligar o Azure Front Door Premium a uma origem de site estática de armazenamento com Private Link.