Configurar o acesso à rede para o Azure Elastic SAN

Artigo
02/13/2024

Você pode controlar o acesso aos volumes da SAN (Storage Area Network, rede de armazenamento de dados) elástica do Azure. O controle de acesso permite que você proteja seus dados e atenda às necessidades de seus aplicativos e ambientes corporativos.

Este artigo descreve como configurar sua SAN elástica para permitir o acesso de sua infraestrutura de rede virtual do Azure.

Para configurar o acesso de rede à sua SAN elástica:

Configurar o acesso à rede pública
Configure um ponto de extremidade de rede virtual.
Configure conexões de cliente.

Pré-requisitos

Se você estiver usando o Azure PowerShell, instale o módulo mais recente do Azure PowerShell.
Se você estiver usando a CLI do Azure, instale a versão mais recente.
Depois de instalar a versão mais recente, execute az extension add -n elastic-san para instalar a extensão para o Elastic SAN. Não são necessárias etapas adicionais de registo.

Limitações

A lista a seguir contém as regiões em que a SAN elástica está disponível no momento e quais regiões oferecem suporte ao ZRS (armazenamento com redundância de zona) e ao LRS (armazenamento com redundância local) ou apenas ao LRS:

África do Sul Norte - LRS
Ásia Oriental - LRS
Sudeste Asiático - LRS
Sul do Brasil - LRS
Canadá Central - LRS
França Central - LRS & ZRS
Alemanha Centro-Oeste - LRS
Leste da Austrália - LRS
Norte da Europa - LRS & ZRS
Europa Ocidental - LRS & ZRS
Sul do Reino Unido - LRS
Leste do Japão - LRS
Coreia Central - LRS
E.U.A. Central
Leste dos EUA - LRS
Centro-Sul dos EUA - LRS
Leste dos EUA 2 - LRS
Oeste dos EUA 2 - LRS & ZRS
Oeste dos EUA 3 - LRS
Suécia Central - LRS
Suíça Norte - LRS

Configurar o acesso à rede pública

Você habilita o acesso público à Internet para seus endpoints de SAN elástica no nível de SAN. Habilitar o acesso à rede pública para uma SAN elástica permite configurar o acesso público a grupos de volumes individuais em pontos de extremidade de serviço de armazenamento. Por padrão, o acesso público a grupos de volumes individuais é negado, mesmo que você o permita no nível da SAN. Você deve configurar explicitamente seus grupos de volumes para permitir o acesso de intervalos de endereços IP específicos e sub-redes de rede virtual.

Você pode habilitar o acesso à rede pública ao criar uma SAN elástica ou habilitá-la para uma SAN existente usando o módulo do Azure PowerShell ou a CLI do Azure.

Use o módulo do Azure PowerShell ou a CLI do Azure para habilitar o acesso à rede pública.

Use este código de exemplo para criar uma SAN elástica com acesso à rede pública habilitado usando o PowerShell. Substitua os valores das variáveis antes de executar a amostra.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName       = "<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName     = "<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location     = "<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName      = "<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize     = "<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize = "<ExtendedSize>"
# Setup the parameters to create an Elastic San with public network access enabled.
$NewEsanArguments = @{
    Name                    = $EsanName
    ResourceGroupName       = $RgName
    BaseSizeTiB             = $BaseSize
    ExtendedCapacitySizeTiB = $ExtendedSize
    Location                = $Location
    SkuName                 = $SkuName
    PublicNetworkAccess     = "Enabled"
}
# Create the Elastic San.
New-AzElasticSan @NewEsanArguments

Use este código de exemplo para atualizar uma SAN elástica para habilitar o acesso à rede pública usando o PowerShell. Substitua os valores de RgName e por seus próprios valores e EsanName , em seguida, execute o exemplo:

# Set the variable values.
$RgName       = "<ResourceGroupName>"
$EsanName     = "<ElasticSanName>"
# Update the Elastic San.
Update-AzElasticSan -Name $EsanName -ResourceGroupName $RgName -PublicNetworkAccess Enabled

Use este código de exemplo para criar uma SAN elástica com acesso à rede pública habilitado usando a CLI do Azure. Substitua os valores das variáveis antes de executar a amostra.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName="<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName="<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location="<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName="<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize="<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize="<ExtendedSize>"

# Create the Elastic San.
az elastic-san create \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --location $Location \
    --base-size-tib $BaseSize \
    --extended-capacity-size-tib $ExtendedSize \
    --sku $SkuName \
    --public-network-access enabled

Use este código de exemplo para atualizar uma SAN elástica para habilitar o acesso à rede pública usando a CLI do Azure. Substitua os valores de RgName e EsanName pelos seus próprios valores:

# Set the variable values.
$RgName="<ResourceGroupName>"
$EsanName="<ElasticSanName>"
# Update the Elastic San.
az elastic-san update \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --public-network-access enabled

Configurar um ponto de extremidade de rede virtual

Você pode configurar seus grupos de volumes do Elastic SAN para permitir o acesso somente de pontos de extremidade em sub-redes de rede virtual específicas. As sub-redes permitidas podem pertencer a redes virtuais na mesma assinatura ou em uma assinatura diferente, incluindo uma assinatura pertencente a um locatário diferente do Microsoft Entra.

Você pode permitir o acesso ao seu grupo de volumes do Elastic SAN a partir de dois tipos de pontos de extremidade de rede virtual do Azure:

Um ponto de extremidade privado usa um ou mais endereços IP privados da sub-rede da rede virtual para acessar um grupo de volumes do Elastic SAN pela rede de backbone da Microsoft. Com um ponto de extremidade privado, o tráfego entre sua rede virtual e o grupo de volumes é protegido por um link privado.

Os pontos finais do serviço de rede virtual são públicos e acessíveis através da Internet. Você pode configurar regras de rede virtual para controlar o acesso ao seu grupo de volumes ao usar pontos de extremidade de serviço de armazenamento.

As regras de rede aplicam-se apenas aos pontos finais públicos de um grupo de volumes, não aos pontos de extremidade privados. O processo de aprovação da criação de um ponto de extremidade privado concede acesso implícito ao tráfego da sub-rede que hospeda o ponto de extremidade privado. Você pode usar as Diretivas de Rede para controlar o tráfego sobre pontos de extremidade privados se quiser refinar as regras de acesso. Se você quiser usar exclusivamente pontos de extremidade privados, não habilite pontos de extremidade de serviço para o grupo de volumes.

Para decidir qual tipo de ponto de extremidade funciona melhor para você, consulte Comparar pontos de extremidade privados e pontos de extremidade de serviço.

Depois que o acesso à rede é configurado para um grupo de volumes, a configuração é herdada por todos os volumes pertencentes ao grupo.

O processo para habilitar cada tipo de ponto de extremidade segue:

Configurar um ponto de extremidade privado
Configurar um ponto de extremidade do serviço de Armazenamento do Azure

Configurar um ponto de extremidade privado

Importante

Para SANs elásticas que usam LRS (armazenamento com redundância local) como opção de redundância, há suporte para endpoints privados em todas as regiões onde o Elastic SAN está disponível. Atualmente, não há suporte para endpoints privados para SANs elásticas que usam o ZRS (armazenamento com redundância de zona) como opção de redundância.

Há duas etapas envolvidas na configuração de uma conexão de ponto de extremidade privada:

Criando o ponto de extremidade e a conexão associada.
Aprovando a conexão.

Você também pode usar as Diretivas de Rede para refinar o controle de acesso sobre pontos de extremidade privados.

Para criar um ponto de extremidade privado para um grupo de volumes do Elastic SAN, você deve ter a função de proprietário do grupo de volumes do Elastic SAN. Para aprovar uma nova conexão de ponto de extremidade privado, você deve ter permissão para a operaçãoMicrosoft.ElasticSan/elasticSans/PrivateEndpointConnectionsApproval/action do provedor de recursos do Azure. A permissão para essa operação está incluída na função Administrador de Rede SAN Elástica, mas também pode ser concedida por meio de uma função personalizada do Azure.

Se você criar o ponto de extremidade a partir de uma conta de usuário que tenha todas as funções e permissões necessárias para criação e aprovação, o processo poderá ser concluído em uma etapa. Caso contrário, requer duas etapas separadas por dois usuários diferentes.

A SAN elástica e a rede virtual podem estar em diferentes grupos de recursos, regiões e assinaturas, incluindo assinaturas que pertencem a diferentes locatários do Microsoft Entra. Nesses exemplos, estamos criando o ponto de extremidade privado no mesmo grupo de recursos que a rede virtual.

Atualmente, você só pode configurar um ponto de extremidade privado usando o PowerShell ou a CLI do Azure.

A implantação de um ponto de extremidade privado para um grupo de volumes de SAN elástica usando o PowerShell envolve estas etapas:

Obtenha a sub-rede dos aplicativos que se conectarão.
Obtenha o Elastic SAN Volume Group.
Crie uma conexão de serviço de link privado usando o grupo de volumes como entrada.
Crie o ponto de extremidade privado usando a sub-rede e a conexão do serviço de link privado como entrada.
(Opcional)se você estiver usando o processo de duas etapas (criação e, em seguida, aprovação): O administrador de rede SAN elástica aprova a conexão.

Use este código de exemplo para criar um ponto de extremidade privado para seu grupo de volumes do Elastic SAN com o PowerShell. Substitua os valores de RgName, , , , , PLSvcConnectionName, EsanNameSubnetNameEsanVgNameVnetNameEndpointNamee Location pelos seus próprios valores:

# Set the resource group name.
$RgName     = "<ResourceGroupName>"

# Set the virtual network and subnet, which is used when creating the private endpoint.
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

$Vnet = Get-AzVirtualNetwork -Name $VnetName -ResourceGroupName $RgName
$Subnet = $Vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq $SubnetName}

# Set the Elastic SAN, which is used when creating the private endpoint service connection.
$EsanName   = "<ElasticSanName>"
$EsanVgName = "<ElasticSanVolumeGroupName>"

$Esan = Get-AzElasticSan -Name $EsanName -ResourceGroupName $RgName

# Create the private link service connection, which is input to creating the private endpoint.
$PLSvcConnectionName = "<PrivateLinkSvcConnectionName>"
$EsanPlSvcConn = New-AzPrivateLinkServiceConnection -Name $PLSvcConnectionName -PrivateLinkServiceId $Esan.Id -GroupId $EsanVgName

# Create the private endpoint.
$EndpointName       = '<PrivateEndpointName>'
$Location           = '<Location>'
$PeArguments        = @{
    Name                         = $EndpointName
    ResourceGroupName            = $RgName
    Location                     = $Location
    Subnet                       = $Subnet
    PrivateLinkServiceConnection = $EsanPlSvcConn
}
New-AzPrivateEndpoint @PeArguments # -ByManualRequest # (Uncomment the `-ByManualRequest` parameter if you are using the two-step process).

Use este código de exemplo para aprovar a conexão do serviço de link privado se estiver usando o processo de duas etapas. Use as mesmas variáveis do exemplo de código anterior:

# Get the private endpoint and associated connection.
$PrivateEndpoint = Get-AzPrivateEndpoint -Name $EndpointName -ResourceGroupName $RgName
$PeConnArguments  = @{
    ServiceName                  = $EsanName
    ResourceGroupName            = $RgName
    PrivateLinkResourceType      = "Microsoft.ElasticSan/elasticSans"
}
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}

# Approve the private link service connection.
$ApprovalDesc="<ApprovalDesc>"
Approve-AzPrivateEndpointConnection @PeConnArguments -Name $EndpointConnection.Name -Description $ApprovalDesc

# Get the private endpoint connection anew and verify the connection status.
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}
$EndpointConnection.PrivateLinkServiceConnectionState

A implantação de um ponto de extremidade privado para um grupo de Volume de SAN Elástica usando a CLI do Azure envolve três etapas:

Obtenha o ID do recurso de conexão privada da SAN elástica.
Crie o ponto de extremidade privado usando entradas:
1. ID do recurso de conexão privada
2. Nome do grupo de volumes
3. Nome do grupo de recursos
4. Nome da sub-rede
5. Nome da rede virtual
(Opcionalse você estiver usando o processo de duas etapas (criação e, em seguida, aprovação): O administrador de rede SAN elástica aprova a conexão.

Use este código de exemplo para criar um ponto de extremidade privado para seu grupo de volumes do Elastic SAN com a CLI do Azure. Descomente o parâmetro se estiver usando o --manual-request processo de duas etapas. Substitua todos os valores de variáveis de exemplo pelos seus:

# Define some variables.
# The name of the resource group where the resources are deployed.
RgName="<ResourceGroupName>"
# The name of the subnet from which access to the volume group will be configured.
VnetName="<VnetName>"
# The name of the virtual network that includes the subnet.
SubnetName="<SubnetName>"
# The name of the Elastic SAN that the volume group belongs to.
EsanName="<ElasticSanName>"
# The name of the Elastic SAN Volume Group to which a connection is to be created.
EsanVgName="<ElasticSanVolumeGroupName>"
# The name of the new private endpoint
EndpointName="<PrivateEndpointName>"
# The name of the new private link service connection to the volume group.
PLSvcConnectionName="<PrivateLinkSvcConnectionName>"
# The region where the new private endpoint will be created.
Location="<Location>"
# The description provided for the approval of the private endpoint connection.
ApprovalDesc="<ApprovalDesc>"

# Get the id of the Elastic SAN.
id=$(az elastic-san show \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --query 'id' \
    --output tsv)

# Create the private endpoint.
az network private-endpoint create \
    --connection-name $PLSvcConnectionName \
    --name $EndpointName \
    --private-connection-resource-id $id \
    --resource-group $RgName \
    --vnet-name $VnetName \
    --subnet $SubnetName \
    --location $Location \
    --group-id $EsanVgName # --manual-request

# Verify the status of the private endpoint connection.
PLConnectionName=$(az network private-endpoint-connection list \
    --name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --query "[?properties.groupIds[0]=='$EsanVgName'].name" -o tsv)

az network private-endpoint-connection show  \
    --resource-name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --name $PLConnectionName

Use este código de exemplo para aprovar a conexão do serviço de link privado se estiver usando o processo de duas etapas. Use as mesmas variáveis do exemplo de código anterior:

az network private-endpoint-connection approve \
    --resource-name $EsanName \
    --resource-group $RgName \
    --name $PLConnectionName \
    --type Microsoft.ElasticSan/elasticSans \
    --description $ApprovalDesc

Configurar um ponto de extremidade do serviço de Armazenamento do Azure

Para configurar um ponto de extremidade do serviço de Armazenamento do Azure a partir da rede virtual onde o acesso é necessário, você deve ter permissão para a operação do provedor de recursos do Azure por meio de uma função personalizada do Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/actionAzure para configurar um ponto de extremidade de serviço.

Nota

Atualmente, a configuração de regras que concedem acesso a sub-redes em redes virtuais que fazem parte de um locatário diferente do Microsoft Entra só é suportada por meio de APIs PowerShell, CLI e REST. Essas regras não podem ser configuradas por meio do portal do Azure, embora possam ser exibidas no portal.

Navegue até sua rede virtual e selecione Pontos de extremidade de serviço.
Selecione + Adicionar.
Na tela Adicionar pontos de extremidade de serviço:
1. Em Serviço, selecione Microsoft.Storage.Global para adicionar um ponto de extremidade de serviço entre regiões.
Nota

Você pode ver Microsoft.Storage listado como um ponto de extremidade de serviço de armazenamento disponível. Essa opção é para pontos de extremidade intrarregião que existem apenas para compatibilidade com versões anteriores. Use sempre pontos de extremidade entre regiões, a menos que você tenha um motivo específico para usar pontos de extremidade intrarregião.
Em Sub-redes, selecione todas as sub-redes onde deseja permitir o acesso.
Selecione Adicionar.

Use este código de exemplo para criar um ponto de extremidade de serviço de armazenamento para seu grupo de volumes Elastic SAN com o PowerShell.

# Define some variables
$RgName     = "<ResourceGroupName>"
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

# Get the virtual network and subnet
$Vnet = Get-AzVirtualNetwork -ResourceGroupName $RgName -Name $VnetName
$Subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $Vnet -Name $SubnetName

# Enable the storage service endpoint
$Vnet | Set-AzVirtualNetworkSubnetConfig -Name $SubnetName -AddressPrefix $Subnet.AddressPrefix -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Use este código de exemplo para criar um ponto de extremidade de serviço de armazenamento para seu grupo de volumes Elastic SAN com a CLI do Azure.

# Define some variables
RgName="<ResourceGroupName>"
VnetName="<VnetName>"
SubnetName="<SubnetName>"

# Enable the storage service endpoint
az network vnet subnet update --resource-group $RgName --vnet-name $VnetName --name $SubnetName --service-endpoints "Microsoft.Storage.Global"

Configurar regras de rede virtual

Todas as solicitações de entrada de dados em um ponto de extremidade de serviço são bloqueadas por padrão. Somente os aplicativos que solicitam dados de fontes permitidas que você configura em suas regras de rede podem acessar seus dados.

Você pode gerenciar regras de rede virtual para grupos de volumes por meio do portal do Azure, PowerShell ou CLI.

Importante

Se quiser habilitar o acesso à sua conta de armazenamento de uma rede/sub-rede virtual em outro locatário do Microsoft Entra, use o PowerShell ou a CLI do Azure. O portal do Azure não mostra sub-redes em outros locatários do Microsoft Entra.

Se você excluir uma sub-rede que foi incluída em uma regra de rede, ela será removida das regras de rede para o grupo de volumes. Se você criar uma nova sub-rede com o mesmo nome, ela não terá acesso ao grupo de volumes. Para permitir o acesso, você deve autorizar explicitamente a nova sub-rede nas regras de rede para o grupo de volumes.

Navegue até a SAN e selecione Grupos de volumes.
Selecione um grupo de volumes e selecione Criar.
Adicione uma rede virtual e uma sub-rede existentes e selecione Salvar.

Instale o Azure PowerShell e entre.

Listar regras de rede virtual.

$Rules = Get-AzElasticSanVolumeGroup -ResourceGroupName $RgName -ElasticSanName $sanName -Name $volGroupName
$Rules.NetworkAclsVirtualNetworkRule

Habilite o ponto de extremidade de serviço para o Armazenamento do Azure em uma rede virtual e sub-rede existentes.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Adicione uma regra de rede para uma rede virtual e uma sub-rede.
```
$rule = New-AzElasticSanVirtualNetworkRuleObject -VirtualNetworkResourceId $Subnet.Id -Action Allow

Add-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName $RgName -ElasticSanName $sanName -VolumeGroupName $volGroupName -NetworkAclsVirtualNetworkRule $rule
```
Gorjeta

Para adicionar uma regra de rede para uma sub-rede em uma rede virtual pertencente a outro locatário do Microsoft Entra, use um parâmetro VirtualNetworkResourceId totalmente qualificado no formato "/subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name".

Remova uma regra de rede virtual.

## You can remove a virtual network rule by object, by resource ID, or by removing all the rules in a volume group
### remove by networkRule object
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkRule $virtualNetworkRule1,$virtualNetworkRule2
### remove by networkRuleResourceId
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkResourceId "myResourceID"
### Remove all network rules in a volume group by pipeline
((Get-AzElasticSanVolumeGroup -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName).NetworkAclsVirtualNetworkRule) | Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName

Instale a CLI do Azure e entre.
Listar informações de um grupo de volumes específico, incluindo suas regras de rede virtual.
```
az elastic-san volume-group show -e $sanName -g $RgName -n $volumeGroupName
```

Habilite o ponto de extremidade de serviço para o Armazenamento do Azure em uma rede virtual e sub-rede existentes.

az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

Adicione uma regra de rede para uma rede virtual e uma sub-rede.

Gorjeta

Para adicionar uma regra para uma sub-rede em uma rede virtual pertencente a outro locatário do Microsoft Entra, use uma ID de sub-rede totalmente qualificada no formato /subscriptions/\<subscription-ID\>/resourceGroups/\<resourceGroup-Name\>/providers/Microsoft.Network/virtualNetworks/\<vNet-name\>/subnets/\<subnet-name\>.

Você pode usar o parâmetro de assinatura para recuperar a ID de sub-rede de uma rede virtual pertencente a outro locatário do Microsoft Entra.

# First, get the current length of the list of virtual networks. This is needed to ensure you append a new network instead of replacing existing ones.
virtualNetworkListLength = az elastic-san volume-group show -e $sanName -n $volumeGroupName -g $RgName --query 'length(networkAcls.virtualNetworkRules)'

az elastic-san volume-group update -e $sanName -g $RgName --name $volumeGroupName --network-acls virtual-network-rules[$virtualNetworkListLength] "{virtualNetworkRules:[{id:/subscriptions/subscriptionID/resourceGroups/RGName/providers/Microsoft.Network/virtualNetworks/$VnetName/subnets/default, action:Allow}]}"

Remova uma regra de rede. O comando a seguir remove a primeira regra de rede, modifique-a para remover a regra de rede desejada.
```
az elastic-san volume-group update -e $sanName -g $RgName -n $volumeGroupName --network-acls virtual-network-rules[1]=null
```

Configurar conexões de cliente

Depois de habilitar os endpoints desejados e conceder acesso em suas regras de rede, você estará pronto para configurar seus clientes para se conectarem aos volumes SAN elásticos apropriados.