Integrar o Cofre da Chave com o Azure Private Link

O Serviço de Link Privado do Azure permite que você acesse os Serviços do Azure (por exemplo, Azure Key Vault, Armazenamento do Azure e Azure Cosmos DB) e os serviços de cliente/parceiro hospedados pelo Azure em um Ponto de Extremidade Privado em sua rede virtual.

Um Endpoint Privado do Azure é uma interface de rede que o conecta de forma privada e segura a um serviço fornecido pelo Azure Private Link. O ponto de extremidade privado usa um endereço IP privado da sua rede virtual, trazendo efetivamente o serviço para a sua rede virtual. Todo o tráfego para o serviço pode ser encaminhado através do ponto final privado, pelo que não são necessários gateways, dispositivos NAT, ligações ExpressRoute ou VPN nem endereços IP públicos. O tráfego entre a sua rede virtual e o serviço atravessa a rede de backbone da Microsoft, eliminando a exposição da Internet pública. Você pode se conectar a uma instância de um recurso do Azure, oferecendo o mais alto nível de granularidade no controle de acesso.

Para obter mais informações, consulte O que é o Azure Private Link?

Pré-requisitos

Para integrar um cofre de chaves com o Azure Private Link, você precisará:

• Um cofre de chaves.
• Uma rede virtual do Azure.
• Uma sub-rede na rede virtual.
• Permissões de proprietário ou colaborador para o cofre de chaves e a rede virtual.

O ponto final privado e a rede virtual têm de estar na mesma região. Quando você seleciona uma região para o ponto de extremidade privado usando o portal, ele filtra automaticamente apenas as redes virtuais que estão nessa região. Seu cofre de chaves pode estar em uma região diferente.

Seu ponto de extremidade privado usa um endereço IP privado em sua rede virtual.

Portal do Azure

Estabelecer uma conexão de link privado com o Cofre da Chave usando o portal do Azure

Primeiro, crie uma rede virtual seguindo as etapas em Criar uma rede virtual usando o portal do Azure

Em seguida, você pode criar um novo cofre de chaves ou estabelecer uma conexão de link privado com um cofre de chaves existente.

Criar um novo cofre de chaves e estabelecer uma conexão de link privado

Você pode criar um novo cofre de chaves com o portal do Azure, a CLI do Azure ou o Azure PowerShell.

Depois de configurar as noções básicas do cofre de chaves, selecione a guia Rede e siga estas etapas:

1. Desative o acesso público ao desativar o botão de rádio.

2. Selecione o botão "+ Criar um ponto de extremidade privado" para adicionar um ponto de extremidade privado.

   

3. No campo "Local" do painel Criar Ponto Final Privado, selecione a região na qual a sua rede virtual está localizada.

4. No campo "Nome", crie um nome descritivo que lhe permita identificar este ponto de extremidade privado.

5. Selecione a rede virtual e a sub-rede em que você deseja que esse ponto de extremidade privado seja criado no menu suspenso.

6. Deixe inalterada a opção "integrar com o DNS da zona privada".

7. Selecione "Ok".

   

Agora poderás ver o ponto de extremidade privado configurado. Agora pode excluir e editar este endpoint privado. Selecione o botão "Rever e Criar" e crie o cofre de chaves. Levará de 5 a 10 minutos para que a implantação seja concluída.

Estabelecer uma conexão de link privado com um cofre de chaves existente

Se você já tiver um cofre de chaves, poderá criar uma conexão de link privado seguindo estas etapas:

1. Entre no portal do Azure.

2. Na barra de pesquisa, digite "cofres de chaves".

3. Selecione o cofre de chaves na lista à qual pretende adicionar um ponto de extremidade privado.

4. Selecione a guia "Rede" em Configurações.

5. Selecione a guia "Private endpoint connections" na parte superior da página.

6. Selecione o botão "+ Criar" na parte superior da página.

   

7. Em "Detalhes do Projeto", selecione o Grupo de Recursos que contém a rede virtual que você criou como pré-requisito para este tutorial. Em "Detalhes da instância", digite "myPrivateEndpoint" como o Nome e selecione o mesmo local da rede virtual que você criou como pré-requisito para este tutorial.

   Você pode optar por criar um ponto de extremidade privado para qualquer recurso do Azure usando essa folha. Você pode usar os menus suspensos para selecionar um tipo de recurso e escolher um recurso no seu diretório. Alternativamente, pode se conectar a qualquer recurso do Azure usando uma ID de recurso. Deixe inalterada a opção "integrar com o DNS da zona privada".

8. Avance para a folha "Recursos". Para "Tipo de recurso", selecione "Microsoft.KeyVault/vaults"; para "Recurso", selecione o cofre de chaves que você criou como pré-requisito para este tutorial. O "subrecurso de destino" será preenchido automaticamente com "vault".

9. Avance para a "Rede Virtual". Selecione a rede virtual e a sub-rede que você criou como pré-requisito para este tutorial.

10. Avance pelos painéis "DNS" e "Tags", aceitando as predefinições.

11. Na folha "Rever + Criar", selecione "Criar".

Quando você cria um ponto de extremidade privado, a conexão deve ser aprovada. Se o recurso para o qual você está criando um ponto de extremidade privado estiver em seu diretório, você poderá aprovar a solicitação de conexão desde que tenha permissões suficientes; se você estiver se conectando a um recurso do Azure em outro diretório, deverá aguardar que o proprietário desse recurso aprove sua solicitação de conexão.

Há quatro estados de provisionamento:

Ação de serviço	Estado do ponto final privado do consumidor de serviço	Descrição
Nenhum	Pendente	A conexão é criada manualmente e está pendente de aprovação do proprietário do recurso Link Privado.
Aprovar	Aprovado	A conexão foi aprovada automática ou manualmente e está pronta para ser usada.
Rejeitar	Rejeitado	A conexão foi rejeitada pelo proprietário do recurso de link privado.
Eliminar	Desconectado	A conexão foi removida pelo proprietário do recurso de link privado, o ponto de extremidade privado torna-se informativo e deve ser excluído para limpeza.

Como gerir uma ligação de endpoint privado ao Cofre de Chaves usando o portal do Azure

1. Inicie sessão no portal do Azure.

2. Na barra de pesquisa, escreva "key vaults"

3. Selecione o cofre de chaves que deseja gerenciar.

4. Selecione a guia "Rede".

5. Se houver conexões pendentes, você verá uma conexão listada com "Pendente" no estado de provisionamento.

6. Selecione o ponto de extremidade privado que deseja aprovar

7. Selecione o botão aprovar.

8. Se houver alguma conexão de ponto de extremidade privada que você deseja rejeitar, seja uma solicitação pendente ou uma conexão existente, selecione a conexão e selecione o botão "Rejeitar".

   

Azure CLI

Estabeleça uma conexão de link privado com o Cofre da Chave usando a CLI (Configuração Inicial)

az login                                                         # Login to Azure CLI
az account set --subscription {SUBSCRIPTION ID}                  # Select your Azure Subscription
az group create -n {RESOURCE GROUP} -l {REGION}                  # Create a new Resource Group
az provider register -n Microsoft.KeyVault                       # Register KeyVault as a provider
az keyvault create -n {VAULT NAME} -g {RG} -l {REGION}           # Create a Key Vault
az keyvault update -n {VAULT NAME} -g {RG} --default-action deny # Turn on Key Vault Firewall
az network vnet create -g {RG} -n {vNet NAME} -location {REGION} # Create a Virtual Network

    # Create a Subnet
az network vnet subnet create -g {RG} --vnet-name {vNet NAME} --name {subnet NAME} --address-prefixes {addressPrefix}

    # Disable Virtual Network Policies
az network vnet subnet update --name {subnet NAME} --resource-group {RG} --vnet-name {vNet NAME} --disable-private-endpoint-network-policies true

    # Create a Private DNS Zone
az network private-dns zone create --resource-group {RG} --name privatelink.vaultcore.azure.net

    # Link the Private DNS Zone to the Virtual Network
az network private-dns link vnet create --resource-group {RG} --virtual-network {vNet NAME} --zone-name privatelink.vaultcore.azure.net --name {dnsZoneLinkName} --registration-enabled true

Criar um endpoint privado (aprovar automaticamente)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --location {AZURE REGION}

Criar um endpoint privado (solicitar aprovação manualmente)

az network private-endpoint create --resource-group {RG} --vnet-name {vNet NAME} --subnet {subnet NAME} --name {Private Endpoint Name}  --private-connection-resource-id "/subscriptions/{AZURE SUBSCRIPTION ID}/resourceGroups/{RG}/providers/Microsoft.KeyVault/vaults/{KEY VAULT NAME}" --group-ids vault --connection-name {Private Link Connection Name} --location {AZURE REGION} --manual-request

Gerenciar conexões de link privado

# Show Connection Status
az network private-endpoint show --resource-group {RG} --name {Private Endpoint Name}

# Approve a Private Link Connection Request
az keyvault private-endpoint-connection approve --approval-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Deny a Private Link Connection Request
az keyvault private-endpoint-connection reject --rejection-description {"OPTIONAL DESCRIPTION"} --resource-group {RG} --vault-name {KEY VAULT NAME} –name {PRIVATE LINK CONNECTION NAME}

# Delete a Private Link Connection Request
az keyvault private-endpoint-connection delete --resource-group {RG} --vault-name {KEY VAULT NAME} --name {PRIVATE LINK CONNECTION NAME}

Adicionar registos DNS privados

# Determine the Private Endpoint IP address
az network private-endpoint show -g {RG} -n {PE NAME}      # look for the property networkInterfaces then id; the value must be placed on {PE NIC} below.
az network nic show --ids {PE NIC}                         # look for the property ipConfigurations then privateIpAddress; the value must be placed on {NIC IP} below.

# https://learn.microsoft.com/azure/dns/private-dns-getstarted-cli#create-an-additional-dns-record
az network private-dns zone list -g {RG}
az network private-dns record-set a add-record -g {RG} -z "privatelink.vaultcore.azure.net" -n {KEY VAULT NAME} -a {NIC IP}
az network private-dns record-set list -g {RG} -z "privatelink.vaultcore.azure.net"

# From home/public network, you wil get a public IP. If inside a vnet with private zone, nslookup will resolve to the private ip.
nslookup {KEY VAULT NAME}.vault.azure.net
nslookup {KEY VAULT NAME}.privatelink.vaultcore.azure.net

Validar se a conexão de link privado funciona

Verifique se os recursos na mesma sub-rede do recurso de ponto de extremidade privado estão utilizando um endereço IP privado para se conectar ao seu cofre de chaves e têm a integração correta da zona DNS privada.

Primeiro, crie uma máquina virtual seguindo as etapas em Criar uma máquina virtual do Windows no portal do Azure

No separador "Rede e Internet":

1. Especifique Rede virtual e Sub-rede. Você pode criar uma nova rede virtual ou selecionar uma existente. Se selecionar um existente, certifique-se de que a região corresponde.
2. Especifique um recurso IP público.
3. No "grupo de segurança de rede NIC", selecione "Nenhum".
4. Em "Balanceamento de carga", selecione "Não".

Abra a linha de comando e execute o seguinte comando:

nslookup <your-key-vault-name>.vault.azure.net

Se você executar o comando ns lookup para resolver o endereço IP de um cofre de chaves em um ponto de extremidade público, verá um resultado semelhante a este:

c:\ >nslookup <your-key-vault-name>.vault.azure.net

Non-authoritative answer:
Name:    
Address:  (public IP address)
Aliases:  <your-key-vault-name>.vault.azure.net

Se executar o comando nslookup para resolver o endereço IP de um cofre de chaves através de um endereço privado, verá um resultado semelhante ao seguinte:

c:\ >nslookup your_vault_name.vault.azure.net

Non-authoritative answer:
Name:    
Address:  10.1.0.5 (private IP address)
Aliases:  <your-key-vault-name>.vault.azure.net
          <your-key-vault-name>.privatelink.vaultcore.azure.net

Guia de solução de problemas

• Verifique se o ponto de extremidade privado está no estado aprovado.

  1. Pode verificar e corrigir esta situação no portal do Azure. Abra o recurso Cofre da Chave e selecione a opção Rede.
  2. Em seguida, selecione a guia Private endpoint connections.
  3. Verifique se o estado da conexão é Aprovado e se o estado de provisionamento é Concluído com Sucesso.
  4. Você também pode navegar até o recurso de ponto de extremidade privado e revisar as mesmas propriedades lá, e verificar se a rede virtual corresponde à que você está usando.

• Verifique se você tem um recurso de Zona DNS Privada.

  1. Você deve ter um recurso de Zona DNS Privada com o nome exato: privatelink.vaultcore.azure.net.
  2. Para saber como configurar isso, consulte o link a seguir. Zonas DNS privadas

• Verifique se a Zona DNS Privada está vinculada à Rede Virtual. Este pode ser o problema se ainda estiveres a receber o endereço IP público.

  1. Se o DNS da Zona Privada não estiver vinculado à rede virtual, a consulta DNS originada da rede virtual retornará o endereço IP público do cofre de chaves.
  2. Navegue até o recurso Zona DNS Privada no portal do Azure e selecione a opção de links de rede virtual.
  3. A rede virtual que executará chamadas para o cofre de chaves tem de estar listada.
  4. Se não estiver, adicione-a.
  5. Para obter etapas detalhadas, consulte o seguinte documento Vincular rede virtual à zona DNS privada

• Verifique se a Zona DNS Privada não está faltando um registro A para o cofre de chaves.

  1. Navegue até a página Zona DNS Privada.
  2. Selecione Visão geral e verifique se há um registro A com o nome simples do cofre de chaves (ou seja, fabrikam). Não especifique nenhum sufixo.
  3. Verifique a ortografia e crie ou corrija o registo A. Você pode usar um TTL de 600 (10 minutos).
  4. Confirme que especifica o endereço IP privado correto.

• Verifique se o registro A tem o endereço IP correto.

  1. Pode confirmar o endereço IP acedendo ao recurso Private Endpoint no portal do Azure.
  2. Aceda ao recurso Microsoft.Network/privateEndpoints, no portal do Azure (não no recurso do Key Vault)
  3. Na página de visão geral, procure por Interface de rede e selecione esse link.
  4. A ligação mostrará a Descrição geral do recurso NIC, que contém o Endereço IP privado da propriedade.
  5. Verifique se esse é o endereço IP correto que é especificado no registo A.

• Se você estiver se conectando de um recurso local a um Cofre de Chaves, verifique se todos os encaminhadores condicionais necessários no ambiente local estão habilitados.

  1. Analise a configuração do DNS do Ponto de Extremidade Privado do Azure para as zonas necessárias e verifique se tem encaminhadores condicionais para ambos, vault.azure.net e vaultcore.azure.net, no seu DNS local.
  2. Certifique-se de ter encaminhadores condicionais para aquelas zonas que encaminham para um Resolvedor de DNS Privado do Azure ou para alguma outra plataforma DNS com acesso à resolução do Azure.

Limitações e considerações de design

Limites: Consulte Limites do Azure Private Link

Preços: consulte Preços do Link Privado do Azure.

Limitações: Consulte Serviço de Link Privado do Azure: Limitações

Próximas Etapas

• Saiba mais sobre o Azure Private Link
• Saiba mais sobre o Azure Key Vault