Используйте Приватный канал Azure для безопасного подключения серверов к Azure Arc

С помощью Приватного канала Azure можно безопасно связать службы платформы Как услуга (PaaS) с виртуальной сетью с помощью частных конечных точек. Для многих служб настраивается конечная точка для каждого ресурса. Затем вы можете подключить локальные или мультиоблачные серверы с помощью Azure Arc и отправить весь трафик через Azure ExpressRoute или подключение виртуальной частной сети (VPN) типа "сеть-сеть" вместо использования общедоступных сетей.

С помощью серверов с поддержкой Azure Arc можно использовать модель области приватного канала, чтобы разрешить нескольким серверам или компьютерам взаимодействовать с ресурсами Azure Arc с помощью одной частной конечной точки.

В этой статье описывается, когда следует использовать область частных ссылок Azure Arc и как настроить ее.

Достоинства

Приватный канал позволяет:

• Частное подключение к Azure Arc без открытия доступа к общедоступной сети.
• Убедитесь, что доступ к данным с компьютера или сервера с поддержкой Azure Arc осуществляется только через авторизованные частные сети. Это требование также включает данные из расширений виртуальной машины, установленных на компьютере или сервере, которые обеспечивают поддержку управления после развертывания и мониторинга.
• Предотвращение кражи данных из частных сетей путем определения определенных серверов с поддержкой Azure Arc и других ресурсов служб Azure, таких как Azure Monitor, который подключается через частную конечную точку.
• Безопасно подключите частную локальную сеть к Azure Arc с помощью ExpressRoute и Приватного канала.
• Удержание всего трафика внутри магистральной сети Microsoft Azure.

Дополнительные сведения см. в разделе "Основные преимущества Приватного канала Azure".

Принцип работы

Azure Arc область приватного канала подключает частные конечные точки (и виртуальные сети, в которых они содержатся) к ресурсу Azure. В этом случае это серверы с поддержкой Azure Arc. При включении любого из поддерживаемых расширений виртуальных машин для серверов с поддержкой Azure Arc, таких как Azure Monitor, эти ресурсы подключают другие ресурсы Azure, например:

• Рабочая область Log Analytics, которая требуется для отслеживания изменений и инвентаризации службы автоматизации Azure, аналитики виртуальных машин Azure Monitor и сбора журналов Azure Monitor с агентом Azure Monitor.
• Azure Key Vault.
• Хранилище BLOB-объектов Azure необходимо для расширения пользовательского скрипта.

Чтобы скачать схемы архитектуры в высоком разрешении, перейдите на страницу Jumpstart Gems.

Для подключения к любому другому ресурсу Azure с сервера с поддержкой Azure Arc требуется настроить приватный канал для каждой службы, которая является необязательной, но рекомендуется. Приватный канал требует отдельной конфигурации для каждой службы.

Дополнительные сведения о настройке Приватный канал для служб Azure, перечисленных ранее, см. в статьях по Cлужба автоматизации Azure, Azure Monitor, Key Vault или Хранилище BLOB-объектов.

Внимание

Теперь "Приватный канал" в общем доступе. Как частные конечные точки, так и службы частных подключений (служба за стандартным балансировщиком нагрузки) общедоступны. Различные службы Azure PaaS подключаются к Приватный канал в соответствии с различными расписаниями. Обновленный статус Azure PaaS в приватном канале см. в разделе "Доступность приватного канала". Известные ограничения см. в разделе "Частная конечная точка" и "Служба частного подключения".

• Частная конечная точка виртуальной сети позволяет ей добраться до конечных точек серверов с поддержкой Azure Arc через частные IP-адреса из пула сети, а не использовать общедоступные IP-адреса этих конечных точек. Таким образом, вы можете продолжать использовать ресурс серверов с поддержкой Azure Arc, не открыв виртуальную сеть для исходящего трафика, который не был запрошен.
• Трафик из частной конечной точки в ресурсы проходит через магистраль Azure и не направляется в общедоступные сети.
• Вы можете настроить каждый из компонентов, чтобы разрешить или запретить прием и запросы из общедоступных сетей. Это обеспечивает защиту на уровне ресурсов, чтобы управлять трафиком в определенные ресурсы.

Необходимые условия

• Подписка Azure. Если ее нет, создайте бесплатную учетную запись.
• Активный канал ExpressRoute или site-to-site VPN между локальной сетью и виртуальной сетью Azure.
• Виртуальная сеть Azure в том же регионе, что и серверы с поддержкой Azure Arc.
• Агент подключенной машины Azure версии 1.4 или более поздней на каждом сервере для подключения через Приватный канал.
• По крайней мере должность Сотрудник в подписке Azure или группе ресурсов, чтобы создать область действия приватной ссылки и ресурсы частной конечной точки.
• При использовании Azure PowerShell требуются следующие модули:
  • Az.ConnectedMachine, Az.Network и Az.PrivateDns. Выполните команду Install-Module -Name Az.ConnectedMachine, Az.Network, Az.PrivateDns -AllowClobber.
• При использовании Azure CLI необходимо следующее расширение:
  • connectedmachine расширение. Выполните команду az extension add --name connectedmachine.

Ограничения и границы

Объект области приватного канала с поддержкой Azure Arc имеет несколько ограничений, которые следует учитывать при планировании настройки приватного канала:

• По крайней мере одна область приватного канала Azure Arc может быть связана с виртуальной сетью.
• Компьютер с поддержкой Azure Arc или ресурс сервера может подключаться только к одной области приватного канала серверов с поддержкой Azure Arc.
• Все локальные компьютеры должны использовать ту же частную конечную точку, определяя правильную информацию о частной конечной точке, такую как полное доменное имя (FQDN) и частный IP-адрес. Они должны использовать тот же сервер пересылки доменных имен (DNS). Дополнительные сведения см. в статье Конфигурация DNS частной конечной точки Azure.
• Сервер с поддержкой Azure Arc и область приватного канала Azure Arc должны находиться в том же регионе Azure, что и друг друга. Частная конечная точка и виртуальная сеть должны находиться в том же регионе Azure, что и друг друга, но это может отличаться от региона области частного подключения Azure Arc и сервера с поддержкой Azure Arc.
• Сетевой трафик к идентификатору Microsoft Entra и Azure Resource Manager не проходит через область действия приватной ссылки Azure Arc и продолжает использовать ваш сетевой маршрут по умолчанию для выхода в Интернет. При необходимости можно настроить приватную ссылку управления ресурсами для отправки трафика Resource Manager в частную конечную точку.
• Другие службы Azure, используемые, например, Azure Monitor, требуют собственных частных конечных точек в виртуальной сети.
• Удаленный доступ к серверу с помощью Windows Admin Center или SSH в настоящее время не поддерживается по закрытой ссылке.

Планировать настройку приватной ссылки

Чтобы подключить сервер к Azure Arc через приватный канал, необходимо настроить сеть для выполнения следующих задач:

• Разверните область приватного канала Azure Arc, которая управляет компьютерами или серверами, которые могут взаимодействовать с Azure Arc через частные конечные точки. Свяжите его с виртуальной сетью Azure с помощью частной конечной точки.
• Чтобы устранить адреса частной конечной точки, обновите конфигурацию DNS в локальной сети.
• Настройте локальный брандмауэр, чтобы разрешить доступ к идентификатору Microsoft Entra и Resource Manager.
• Свяжите компьютеры или серверы, зарегистрированные на серверах с поддержкой Azure Arc, с областью приватного канала.
• При необходимости разверните частные конечные точки для других служб Azure, которые управляют компьютером или сервером, например:
  • Azure Monitor
  • Служба автоматизации Azure
  • Azure Blob-хранилище
  • Azure Key Vault

Сетевая конфигурация

Серверы с поддержкой Azure Arc интегрируются с несколькими службами Azure для обеспечения управления облаком и управления на гибридных компьютерах или серверах. Большинство этих служб уже предлагают частные конечные точки. Необходимо настроить правила брандмауэра и маршрутизации, чтобы разрешить доступ к идентификатору Microsoft Entra и Resource Manager через Интернет, пока эти службы не предлагают частные конечные точки.

Существует два способа разрешить доступ:

• Настройте брандмауэр в локальной сети, чтобы разрешить исходящий доступ TCP 443 (HTTPS) к идентификатору Microsoft Entra и Azure с помощью скачиваемых файлов тегов службы. Файл JSON содержит диапазоны общедоступных IP-адресов, используемые Microsoft Entra ID и Azure, и обновляется ежемесячно, чтобы отразить любые изменения.

  Тег службы идентификатора Microsoft Entra — AzureActiveDirectory. Тег службы Azure - это AzureResourceManager. Чтобы узнать, как настроить правила брандмауэра, обратитесь к поставщику сетевого администратора и сетевого брандмауэра.

• Если сеть настроена для маршрутизации всего трафика, привязанного к Интернету, через канал Azure VPN или ExpressRoute, можно настроить группу безопасности сети (NSG), связанную с подсетью в Azure. Используйте теги службы , чтобы разрешить исходящий доступ TCP 443 (HTTPS) к идентификатору Microsoft Entra и Azure.

  Правила NSG должны выглядеть следующим образом:

  Настройка	Правило идентификатора Microsoft Entra	Правило Azure
  Источник	Виртуальная сеть	Виртуальная сеть
  Диапазоны исходных портов	*	*
  Назначение	Тег службы	Тег службы
  Тег пункта назначения службы	AzureActiveDirectory	AzureResourceManager
  Диапазоны портов назначения	443	443
  Протокол	Протокол tcp	Протокол tcp
  Действие	Разрешить	Разрешить
  Приоритет	150 (должно быть меньше всех правил, которые блокируют доступ к Интернету.)	151 (должно быть меньше всех правил, которые блокируют доступ к Интернету.)
  Имя.	AllowAADOutboundAccess	AllowAzOutboundAccess

  Чтобы создать эти правила NSG с помощью командной строки, используйте один из следующих методов:

  Azure PowerShell

  $nsgName = "<nsg-name>"
  $resourceGroup = "<resource-group>"
  $nsg = Get-AzNetworkSecurityGroup -Name $nsgName -ResourceGroupName $resourceGroup
  
  # Microsoft Entra ID rule
  
  $nsg = $nsg | Add-AzNetworkSecurityRuleConfig `
    -Name "AllowAADOutboundAccess" `
    -Priority 150 `
    -Direction Outbound `
    -Access Allow `
    -Protocol Tcp `
    -SourceAddressPrefix VirtualNetwork `
    -SourcePortRange * `
    -DestinationAddressPrefix AzureActiveDirectory `
    -DestinationPortRange 443
  
  # Azure rule
  
  $nsg = $nsg | Add-AzNetworkSecurityRuleConfig `
    -Name "AllowAzOutboundAccess" `
    -Priority 151 `
    -Direction Outbound `
    -Access Allow `
    -Protocol Tcp `
    -SourceAddressPrefix VirtualNetwork `
    -SourcePortRange * `
    -DestinationAddressPrefix AzureResourceManager `
    -DestinationPortRange 443
  
  $nsg | Set-AzNetworkSecurityGroup
  

  Azure CLI

  # Microsoft Entra ID rule
  
  az network nsg rule create \
    --resource-group "<resource-group>" \
    --nsg-name "<nsg-name>" \
    --name "AllowAADOutboundAccess" \
    --priority 150 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --source-address-prefixes VirtualNetwork \
    --source-port-ranges "*" \
    --destination-address-prefixes AzureActiveDirectory \
    --destination-port-ranges 443
  
  # Azure rule
  
  az network nsg rule create \
    --resource-group "<resource-group>" \
    --nsg-name "<nsg-name>" \
    --name "AllowAzOutboundAccess" \
    --priority 151 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --source-address-prefixes VirtualNetwork \
    --source-port-ranges "*" \
    --destination-address-prefixes AzureResourceManager \
    --destination-port-ranges 443
  

---

Дополнительные сведения о потоках сетевого трафика см. в разделе "Принципы работы " этой статьи.

Создание области действия приватной связи Azure Arc

Внимание

Если вы используете Azure PowerShell или Azure CLI, выполните все действия, описанные в разделе в сеансе терминала (или объединить каждый шаг в один файл скрипта). Переменные, такие как $scopeId (PowerShell) и scopeId (Bash), задаются на предыдущих шагах и ссылаются на них в последующих шагах. Запуск нового сеанса терминала между шагами приводит к потере этих переменных, и последующие команды терпят неудачу.

Портал Azure

1. Войдите на портал Azure.

2. На панели поиска найдите и выберите диапазоны подключения Azure Arc Приватный канал, а затем выберите Создать.

   

3. На вкладке "Основные сведения" выберите подписку и группу ресурсов.

4. Введите имя области приватного канала Azure Arc. Лучше использовать осмысленное и понятное имя.

5. При необходимости, чтобы ограничить доступ всех связанных компьютеров только через частную конечную точку, снимите флажок "Разрешить доступ к общедоступной сети ". По умолчанию этот флажок установлен, что позволяет компьютерам или серверам обмениваться данными через частные и общедоступные сети. Этот параметр можно изменить после создания области.

6. Перейдите на вкладку "Частная конечная точка " и нажмите кнопку "Создать".

7. На панели создания частной конечной точки :

   1. Введите имя конечной точки.

   2. Для интеграции с частной зоной DNS нажмите кнопку "Да", а затем автоматически создайте частную зону DNS.

      Примечание.

      Если вы выбрали "Нет" и предпочитаете управлять записями DNS вручную, сначала завершите настройку приватного канала, включая эту частную конечную точку и конфигурацию частной области. Затем настройте DNS в соответствии с инструкциями в конфигурации DNS частной конечной точки Azure. Не создавайте пустые записи в процессе подготовки к настройке приватной ссылки. Создаваемые записи DNS могут переопределить существующие параметры и повлиять на подключение к серверам с поддержкой Azure Arc.

      Вы не можете использовать одну и ту же виртуальную сеть или зону DNS для ресурсов Azure Arc, использующих частные каналы и те, которые не используют частные ссылки. Ресурсы Azure Arc, которые не подключены к частным ссылкам, должны разрешаться через общедоступные конечные точки.

   3. Нажмите кнопку "ОК".

8. Выберите Review + create.

   

9. После прохождения проверки выберите Создать.

Azure PowerShell

1. Создайте область действия частной ссылки.

   New-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -Location "<location>" `
     -ScopeName "<scope-name>" `
     -PublicNetworkAccess Enabled
   

   Настройте -PublicNetworkAccess на Disabled, чтобы ограничить коммуникацию компьютеров только через частную конечную точку.

2. Получите идентификатор ресурса области для использования в последующих шагах:

   $scope = Get-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -ScopeName "<scope-name>"
   $scopeId = $scope.Id
   

3. Отключите политики сети частной конечной точки в целевой подсети, а затем создайте частную конечную точку:

   $vnet = Get-AzVirtualNetwork -Name "<vnet-name>" -ResourceGroupName "<resource-group>"
   $subnet = Get-AzVirtualNetworkSubnetConfig -Name "<subnet-name>" -VirtualNetwork $vnet
   $subnet.PrivateEndpointNetworkPolicies = "Disabled"
   Set-AzVirtualNetwork -VirtualNetwork $vnet
   
   $privateEndpointConnection = New-AzPrivateLinkServiceConnection `
       -Name "<connection-name>" `
       -PrivateLinkServiceId $scopeId `
       -GroupId "hybridcompute"
   
   New-AzPrivateEndpoint `
       -ResourceGroupName "<resource-group>" `
       -Name "<endpoint-name>" `
       -Location "<location>" `
       -Subnet $subnet `
       -PrivateLinkServiceConnection $privateEndpointConnection
   

4. Создание и связывание зоны DNS:

   $resourceGroup = "<resource-group>"
   $vnetName = "<vnet-name>"
   $endpointName = "<endpoint-name>"
   
   # Define required DNS zones for Azure Arc
   $dnsZoneNames = @(
       "privatelink.his.arc.azure.com",
       "privatelink.guestconfiguration.azure.com"
   
       # Uncomment the following line if using Kubernetes extensions:
       # "privatelink.dp.kubernetesconfiguration.azure.com"
   )
   
   $vnet = Get-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroup
   
   # Step 1: Create private DNS zones and link to VNet
   foreach ($zoneName in $dnsZoneNames) {
   
       # Create the private DNS zone
       New-AzPrivateDnsZone `
           -ResourceGroupName $resourceGroup `
           -Name $zoneName
   
    # Link the DNS zone to the VNet
    New-AzPrivateDnsVirtualNetworkLink `
        -ResourceGroupName $resourceGroup `
        -ZoneName $zoneName `
        -Name "$($zoneName -replace '\.', '-')-link" `
        -VirtualNetworkId $vnet.Id
   
    Write-Host "Created and linked DNS zone: $zoneName"
   }
   
   # Step 2: Create the DNS zone group on the private endpoint
   $dnsZoneConfigs = $dnsZoneNames | ForEach-Object {
       $zone = Get-AzPrivateDnsZone -ResourceGroupName $resourceGroup -Name $_
       New-AzPrivateDnsZoneConfig `
           -Name ($_ -replace '\.', '-') `
           -PrivateDnsZoneId $zone.ResourceId
   }
   
   New-AzPrivateDnsZoneGroup `
       -ResourceGroupName $resourceGroup `
       -PrivateEndpointName $endpointName `
       -Name "arc-dns-zone-group" `
       -PrivateDnsZoneConfig $dnsZoneConfigs
   
   Write-Host "DNS zone group created on endpoint $endpointName"
   

Azure CLI

1. Создайте область действия частной ссылки:

   az connectedmachine private-link-scope create \
     --resource-group "<resource-group>" \
     --location "<location>" \
     --scope-name "<scope-name>" \
     --public-network-access Enabled
   

   Установите --public-network-access в Disabled, чтобы ограничить взаимодействие машин только через частную конечную точку.

2. Получите идентификатор ресурса области для использования в последующих шагах:

   scopeId=$(az connectedmachine private-link-scope show \
     --resource-group "<resource-group>" \
     --scope-name "<scope-name>" \
     --query id -o tsv)
   

3. Отключите сетевые политики для частных конечных точек в целевой подсети.

   az network vnet subnet update \
     --resource-group "<resource-group>" \
     --vnet-name "<vnet-name>" \
     --name "<subnet-name>" \
     --private-endpoint-network-policies Disabled
   

4. Создайте частную конечную точку и свяжите ее с областью:

   az network private-endpoint create \
     --resource-group "<resource-group>" \
     --name "<endpoint-name>" \
     --location "<location>" \
     --vnet-name "<vnet-name>" \
     --subnet "<subnet-name>" \
     --private-connection-resource-id "$scopeId" \
     --group-id "hybridcompute" \
     --connection-name "<connection-name>"
   

5. Создание и связывание зоны DNS:

   RESOURCE_GROUP="<resource-group>"
   VNET_NAME="<vnet-name>"
   ENDPOINT_NAME="<endpoint-name>"
   
   # Define required DNS zones for Azure Arc
   DNS_ZONES=(
       "privatelink.his.arc.azure.com"
       "privatelink.guestconfiguration.azure.com"
       # Uncomment the following line if using Kubernetes extensions:
       # "privatelink.dp.kubernetesconfiguration.azure.com"
   )
   
   # Get VNet resource ID
   VNET_ID=$(az network vnet show \
       --resource-group "$RESOURCE_GROUP" \
       --name "$VNET_NAME" \
       --query id -o tsv)
   
   # Step 1: Create DNS zones and link to VNet
   for ZONE in "${DNS_ZONES[@]}"; do
       LINK_NAME="${ZONE//./-}-link"
   
       # Create the private DNS zone
       az network private-dns zone create \
           --resource-group "$RESOURCE_GROUP" \
           --name "$ZONE" \
           --output none
   
       # Link the DNS zone to the VNet
       az network private-dns link vnet create \
           --resource-group "$RESOURCE_GROUP" \
           --zone-name "$ZONE" \
           --name "$LINK_NAME" \
           --virtual-network "$VNET_ID" \
           --registration-enabled false \
           --output none
   
       echo "Created and linked DNS zone: $ZONE"
   done
   
   # Step 2: Create DNS zone group on the private endpoint
   FIRST=true
   for ZONE in "${DNS_ZONES[@]}"; do
       ZONE_ID=$(az network private-dns zone show \
           --resource-group "$RESOURCE_GROUP" \
           --name "$ZONE" \
           --query id -o tsv)
       CONFIG_NAME="${ZONE//./-}"
   
       if [ "$FIRST" = true ]; then
           # Create the zone group with the first zone
           az network private-endpoint dns-zone-group create \
               --resource-group "$RESOURCE_GROUP" \
               --endpoint-name "$ENDPOINT_NAME" \
               --name "arc-dns-zone-group" \
               --zone-name "$CONFIG_NAME" \
               --private-dns-zone "$ZONE_ID" \
               --output none
           FIRST=false
       else
           # Add subsequent zones to the existing group
           az network private-endpoint dns-zone-group add \
               --resource-group "$RESOURCE_GROUP" \
               --endpoint-name "$ENDPOINT_NAME" \
               --name "arc-dns-zone-group" \
               --zone-name "$CONFIG_NAME" \
               --private-dns-zone "$ZONE_ID" \
               --output none
       fi
   
       echo "Added zone '$ZONE' to DNS zone group."
   done
   
   echo "DNS zone group created on endpoint '$ENDPOINT_NAME'."
   

Настройка локальной пересылки DNS

Локальные компьютеры или серверы должны иметь возможность разрешать DNS-записи частной связи к IP-адресам частной конечной точки. Настройка этого поведения зависит от того, используете ли вы:

• Частные зоны DNS Azure для хранения записей DNS.

• Собственный DNS-сервер в локальной среде и количество настроенных серверов.

Настройка DNS с помощью частных зон DNS, интегрированных в Azure

Если при создании частной конечной точки настроены частные зоны DNS, локальный DNS-сервер должен пересылать запросы к Azure DNS для разрешения адресов частных конечных точек. Разверните DNS-сервер пересылки в Azure, либо на выделенной виртуальной машине, либо в экземпляре Брандмауэр Azure с включенной функцией DNS-прокси.

Дополнительные сведения см. в статье Azure DNS Private Resolver с локальным сервером пересылки DNS.

Настройка DNS-сервера вручную

Если вы решили не использовать частные зоны DNS Azure при создании частной конечной точки, необходимо создать необходимые записи DNS на вашем локальном DNS-сервере.

Портал Azure

1. На портале Azure перейдите к ресурсу частной конечной точки, связанному с виртуальной сетью и областью приватного канала.

2. В меню службы в разделе "Параметры" выберите конфигурацию DNS , чтобы просмотреть список записей DNS и соответствующих IP-адресов, которые необходимо настроить на DNS-сервере. Полное доменное имя и IP-адреса изменяются в зависимости от региона, выбранного для частной конечной точки, и доступных IP-адресов в подсети.

Azure PowerShell

Выполните следующую команду, чтобы получить записи DNS и IP-адреса, необходимые для DNS-сервера:

$endpoint = Get-AzPrivateEndpoint `
  -ResourceGroupName "<resource-group>" `
  -Name "<endpoint-name>"

$endpoint.CustomDnsConfigs | Select-Object Fqdn, IpAddresses

Azure CLI

Выполните следующую команду, чтобы получить записи DNS и IP-адреса, необходимые для DNS-сервера:

az network private-endpoint show \
  --resource-group "<resource-group>" \
  --name "<endpoint-name>" \
  --query "customDnsConfigs[].{FQDN:fqdn, IPAddresses:ipAddresses}" \
  --output table

После получения списка полных доменных имен и IP-адресов следуйте инструкциям поставщика DNS-сервера, чтобы добавить необходимые зоны DNS и записи A. Убедитесь, что выбранный DNS-сервер соответствует требованиям вашей сети. Каждый компьютер или сервер, использующий этот DNS-сервер, теперь разрешает IP-адреса частной конечной точки. Каждый компьютер или сервер должен быть связан с областью приватного канала Azure Arc, или подключение отказано.

Сценарии с отдельным сервером

Если вы планируете использовать частные ссылки для поддержки только нескольких компьютеров или серверов, вам, возможно, не захочется обновлять конфигурацию DNS всей сети. В этом случае можно добавить имена узлов и IP-адреса частной конечной точки в файл узлов операционной системы. В зависимости от конфигурации ОС файл Hosts может быть основным или альтернативным способом разрешения имени узла на IP-адрес.

Windows

1. Используйте учетную запись с правами администратора, чтобы открыть C:\Windows\System32\drivers\etc\hosts.

2. Добавьте IP-адреса частной конечной точки и имена узлов из списка конфигурации DNS , как описано в конфигурации DNS-сервера вручную. Файл hosts должен содержать сначала IP-адрес, затем пробел, а потом имя узла.

3. Сохраните файл с изменениями. Сначала может потребоваться сохранить файл в другой каталог, а затем скопировать файл в исходный путь.

Linux

1. Откройте файл /etc/hosts в текстовом редакторе.

2. Добавьте IP-адреса частной конечной точки и имена узлов из списка конфигурации DNS , как описано в конфигурации DNS-сервера вручную. Файл hosts должен содержать сначала IP-адрес, затем пробел, а потом имя узла.

3. Сохраните файл с изменениями.

Подключение к серверу с поддержкой Azure Arc

Для использования частной конечной точки требуется агент подключенного компьютера Azure версии 1.4 или более поздней. Скрипт развертывания серверов с поддержкой Azure Arc, созданный на портале, скачивает последнюю версию.

Настройка нового сервера с поддержкой Azure Arc для использования приватного канала

При первом подключении компьютера или сервера с серверами с поддержкой Azure Arc его можно при необходимости подключить к области приватного канала.

Примечание.

Скрипт подключения должен быть создан на портале Azure. После подключения компьютера его можно связать с областью приватного канала с помощью Azure PowerShell или Azure CLI. См. Настройка существующего сервера с поддержкой Azure Arc.

1. Войдите на портал Azure. На панели поиска найдите и выберите Azure Arc.

2. В разделе "Инфраструктура" выберите "Компьютеры". На панели команд выберите "Добавить или создать", а затем нажмите кнопку "Добавить компьютер".

3. На странице "Добавление серверов с помощью Azure Arc " выберите "Добавить один сервер " или " Добавить несколько серверов " в зависимости от сценария развертывания, а затем выберите "Создать скрипт".

4. На странице "Основы" укажите следующие сведения:

   1. Выберите подписку и группу ресурсов для компьютера.

   2. В раскрывающемся списке "Регион" выберите регион Azure для хранения метаданных компьютера или сервера.

   3. В раскрывающемся списке операционной системы выберите операционную систему, в которой настроен скрипт.

   4. В разделе Connectivity method выберите Private endpoint и выберите область частной связи Azure Arc, созданную вами, из раскрывающегося списка.

      

   5. Нажмите кнопку "Далее": теги.

5. Если на странице проверки подлинности выбрано Добавить несколько серверов, выберите служебный принципал, созданный для серверов с поддержкой Azure Arc, в раскрывающемся списке. Если вам нужно создать служебный принципал для серверов с поддержкой Azure Arc, ознакомьтесь с руководством по тому, как создать служебный принципал, чтобы узнать о необходимых разрешениях и шагах для его создания. Нажмите кнопку "Далее": теги для продолжения.

6. На странице "Теги" просмотрите предлагаемые теги физического расположения по умолчанию и введите значение или укажите один или несколько настраиваемых тегов для поддержки стандартов.

7. Нажмите кнопку "Далее". Скачайте и запустите скрипт.

8. На странице "Скачать и запустить скрипт " просмотрите сводную информацию и нажмите кнопку "Скачать".

После скачивания скрипта необходимо запустить его на компьютере или сервере с помощью привилегированной учетной записи (администратора или корня). В зависимости от конфигурации сети может потребоваться скачать агент с компьютера с доступом к Интернету и передать его на компьютер или сервер. Затем измените скрипт, указав путь к агенту.

Агент Windows и агент Linux можно скачать. Найдите последнюю версию azcmagent в каталоге дистрибуции вашей ОС и установите ее с помощью вашего локального диспетчера пакетов.

Скрипт возвращает сообщения о состоянии, которые позволяют узнать, успешно ли подключение выполнено после завершения.

Сетевой трафик от агента Azure Connected Machine к идентификатору Microsoft Entra ID (login.windows.net, login.microsoftonline.com, pas.windows.net) и Resource Manager (management.azure.com) продолжает использовать общедоступные конечные точки. Если сервер должен взаимодействовать через прокси-сервер для достижения этих конечных точек, настройте агент с URL-адресом прокси-сервера перед подключением к Azure. Кроме того, может потребоваться настроить обход прокси-сервера для служб Azure Arc, если частная конечная точка недоступна на прокси-сервере.

Настройка существующего сервера с поддержкой Azure Arc

Для серверов с поддержкой Azure Arc, которые были настроены до создания области подключения через частный канал, можно разрешить их запуск, используя область подключения через частный канал для серверов с поддержкой Azure Arc.

Портал Azure

1. На портале Azure перейдите к ресурсу области частной ссылки Azure Arc.

2. В меню службы в разделе "Настройка" выберите ресурсы Azure Arc и нажмите кнопку +Добавить.

3. Выберите серверы в списке, который вы хотите связать с областью приватного канала, а затем нажмите кнопку "Выбрать ", чтобы сохранить изменения.

   

Azure PowerShell

1. Получите идентификатор ресурса области действия приватной ссылки:

   $scope = Get-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -ScopeName "<scope-name>"
   

2. Свяжите компьютер с областью приватного канала:

   Update-AzConnectedMachine `
     -ResourceGroupName "<resource-group>" `
     -Name "<machine-name>" `
     -PrivateLinkScopeResourceId $scope.Id
   

Azure CLI

1. Извлеките идентификатор ресурса области действия приватной ссылки:

   scopeId=$(az connectedmachine private-link-scope show \
     --resource-group "<resource-group>" \
     --scope-name "<scope-name>" \
     --query id -o tsv)
   

2. Свяжите компьютер с областью приватного канала:

   az connectedmachine update \
     --resource-group "<resource-group>" \
     --name "<machine-name>" \
     --private-link-scope-resource-id "$scopeId"
   

Для приема подключений с недавно связанных серверов может потребоваться до 15 минут.

Устранение неполадок

При возникновении проблем могут помочь следующие предложения:

• Проверьте локальный DNS-сервер, чтобы убедиться, что он перенаправляет в Azure DNS или настроен с соответствующими записями A в зоне частного подключения. Эти команды поиска должны возвращать частные IP-адреса в вашей виртуальной сети Azure. Если они разрешают публичные IP-адреса, дважды проверьте конфигурацию DNS вашей машины, сервера и сети.

  nslookup gbl.his.arc.azure.com
  nslookup agentserviceapi.guestconfiguration.azure.com
  

• Для проблем с подключением компьютера или сервера убедитесь, что вы добавили идентификатор Microsoft Entra и теги службы Resource Manager в брандмауэр локальной сети. Агент должен взаимодействовать со службами через Интернет, пока для этих служб не будут доступны частные конечные точки.

Дополнительные сведения об устранении неполадок см. в статье "Устранение неполадок с подключением к частной конечной точке Azure".

Связанный контент

• Дополнительные сведения о частных конечных точках см. в статье "Что такое частная конечная точка?".
• Узнайте, как настроить частные ссылки для службы автоматизации Azure, Azure Monitor, Azure Key Vault или хранилища BLOB-объектов Azure.