Руководство по ограничению сетевого доступа к ресурсам PaaS с помощью конечных точек службы виртуальной сети

Конечные точки служб для виртуальной сети позволяют ограничить сетевой доступ к некоторым ресурсам службы Azure определенной подсетью виртуальной сети. Можно также запретить доступ к ресурсам через Интернет. Конечные точки службы предоставляют прямое подключение из виртуальной сети к поддерживаемым службам Azure. Это позволяет использовать закрытый диапазон адресов виртуальной сети для доступа к службам Azure. Трафик, поступающий к ресурсам Azure через конечные точки службы, всегда остается в магистральной сети Microsoft Azure.

В этом руководстве описано следующее:

• Создание виртуальной сети с одной подсетью.
• Добавление подсети и включение конечной точки службы.
• Создание ресурса Azure и разрешение сетевого доступа к нему только из подсети.
• Развертывание виртуальной машины в каждой подсети.
• Подтверждение прав доступа к ресурсу из подсети.
• Убедитесь, что доступ к ресурсу запрещен из подсети и Интернета.

Предварительные условия

Портал

• Учетная запись Azure с активной подпиской. Создайте ее бесплатно.

PowerShell

Если у вас нет подписки Azure, создайте бесплатную учетную запись, прежде чем приступить к работе.

Azure Cloud Shell

В Azure есть Azure Cloud Shell, интерактивная оболочка среды, с которой можно работать в браузере. Для работы со службами Azure можно использовать Bash или PowerShell с Cloud Shell. Для запуска кода из этой статьи можно использовать предварительно установленные команды Cloud Shell. Ничего дополнительного в локальной среде устанавливать не нужно.

Начало работы с Azure Cloud Shell

Вариант	Пример и ссылка
Нажмите кнопку Попробовать в правом верхнем углу блока кода или команд. При нажатии кнопки Попробовать код или команда не копируется в Cloud Shell автоматически.
Чтобы открыть Cloud Shell в браузере, перейдите по адресу https://shell.azure.com или нажмите кнопку Запуск Cloud Shell.
Нажмите кнопку Cloud Shell в строке меню в правом верхнем углу окна портала Azure.

Чтобы использовать Azure Cloud Shell, выполните следующие действия:

1. Запустите Cloud Shell.

2. Нажмите кнопку Копировать в блоке кода (или блоке команд), чтобы скопировать код или команду.

3. Вставьте код или команду в окно сеанса Cloud Shell, нажав клавиши CTRL+SHIFT+V в Windows и Linux или CMD+SHIFT+V в macOS.

4. Нажмите клавишу ВВОД, чтобы запустить код или команду.

Чтобы установить и использовать PowerShell локально для работы с этой статьей, вам понадобится модуль Azure PowerShell 1.0.0 или более поздней версии. Запустите Get-Module -ListAvailable Az, чтобы узнать установленную версию. Если вам необходимо выполнить обновление, ознакомьтесь со статьей, посвященной установке модуля Azure PowerShell. При использовании PowerShell на локальном компьютере также нужно запустить Connect-AzAccount, чтобы создать подключение к Azure.

CLI

Если у вас нет аккаунта Azure, создайте бесплатную учетную запись перед началом.

• Используйте среду Bash в Azure Cloud Shell. Дополнительные сведения см. в статье "Начало работы с Azure Cloud Shell".

  

• Если вы предпочитаете выполнять справочные команды CLI локально, установите Azure CLI. Если вы работаете в Windows или macOS, Azure CLI можно запустить в контейнере Docker. Дополнительные сведения см. в статье Как запустить Azure CLI в контейнере Docker.

  • Если вы используете локальную установку, выполните вход в Azure CLI с помощью команды az login. Чтобы выполнить аутентификацию, следуйте инструкциям в окне терминала. Сведения о других параметрах входа см. в статье "Проверка подлинности в Azure с помощью Azure CLI".

  • Установите расширение Azure CLI при первом использовании, когда появится соответствующий запрос. Дополнительные сведения о расширениях см. в статье Использование расширений и управление ими с помощью Azure CLI.

  • Выполните команду az version, чтобы узнать установленную версию и зависимые библиотеки. Чтобы обновиться до последней версии, выполните команду az upgrade.

• Для работы с этой статьей требуется Azure CLI версии 2.0.28 или более поздней. Если вы используете Azure Cloud Shell, последняя версия уже установлена.

Портал

Создайте группу ресурсов

1. Войдите на портал Azure.

2. В поле поиска в верхней части портала введите ResourceGroup. Выберите Группы ресурсов в результатах поиска.

3. Выберите + Создать.

4. На вкладке "Основы" создайте группу ресурсов, введите или выберите следующие сведения:

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку.
   Группа ресурсов	Введите test-rg.
   Область/регион	Выберите регион Восточная часть США 2.

5. Выберите Review + create.

6. Нажмите кнопку создания.

Создание виртуальной сети

1. В поле поиска в верхней части портала введите виртуальные сети. В результатах поиска выберите Виртуальные сети.

2. Выберите + Создать.

3. На вкладке "Основы" создайте виртуальную сеть, введите или выберите следующие сведения:

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об инстанции
   Имя.	Введите vnet-1.
   Область/регион	Выберите регион Восточная часть США 2.

4. Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".

5. Нажмите Далее, чтобы перейти на вкладку IP-адреса.

6. В поле адресного пространства в подсетях выберите подсеть по умолчанию .

7. В разделе "Изменить подсеть", введите или выберите следующие сведения:

   Настройка	Значение
   Сведения о подсети
   Шаблон подсети	Оставьте значение «По умолчанию».
   Имя.	Введите subnet-1.
   Начальный адрес	Оставьте значение по умолчанию 10.0.0.0.
   Размер подсети	Оставьте значение по умолчанию /24 (256 адресов).

8. Выберите Сохранить.

9. Выберите "Проверка и создание " в нижней части экрана и при прохождении проверки нажмите кнопку "Создать".

Развертывание Бастиона Azure

Бастион Azure использует браузер для подключения к виртуальным машинам в виртуальной сети через безопасную оболочку (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Дополнительные сведения о Бастионе Azure см. в статье Бастион Azure.

Примечание.

Почасовая оплата начинается с момента установки Bastion, независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

1. В поле поиска в верхней части портала введите Бастион. Выберите Bastions в результатах поиска.

2. Выберите + Создать.

3. На вкладке "Основы " создайте бастион, введите или выберите следующие сведения:

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об инстанции
   Имя.	Введите бастион.
   Область/регион	Выберите регион Восточная часть США 2.
   Уровень	Выберите разработчика.
   Настройка виртуальных сетей
   Виртуальная сеть	Выберите vnet-1.

4. Выберите Review + create.

5. Нажмите кнопку создания.

Включите конечную точку службы

Конечные точки службы активируются для каждой службы и каждой подсети.

1. В поле поиска в верхней части страницы портала найдите виртуальную сеть. В результатах поиска выберите Виртуальные сети.

2. В виртуальных сетях выберите виртуальную сеть-1.

3. В разделе "Параметры" виртуальной сети-1 выберите подсети.

4. Выберите + Подсеть.

5. На странице "Добавление подсети" введите или выберите следующие сведения:

   Настройка	Значение
   Имя.	subnet-private
   Диапазон адресов подсети	Оставьте значение по умолчанию 10.0.2.0/24.
   КОНЕЧНЫЕ ТОЧКИ СЛУЖБЫ
   Службы	Выберите элемент Microsoft.Storage.

6. Выберите Сохранить.

Внимание

Перед включением конечной точки службы для существующей подсети, которая содержит ресурсы, см. раздел Изменение параметров подсети.

PowerShell

Создание виртуальной сети

1. Перед созданием виртуальной сети необходимо создать для нее группу ресурсов и другие компоненты, указанные в этой статье. Создайте группу ресурсов с помощью New-AzResourceGroup. В следующем примере создается группа ресурсов с именем test-rg:

   $rg = @{
       ResourceGroupName = "test-rg"
       Location = "westus2"
   }
   New-AzResourceGroup @rg
   

2. Создайте виртуальную сеть с использованием New-AzVirtualNetwork. В следующем примере создается виртуальная сеть с именем vnet-1 с префиксом адреса 10.0.0.0.0/16.

   $vnet = @{
       ResourceGroupName = "test-rg"
       Location = "westus2"
       Name = "vnet-1"
       AddressPrefix = "10.0.0.0/16"
   }
   $virtualNetwork = New-AzVirtualNetwork @vnet
   

3. Создайте конфигурацию подсети с помощью командлета New-AzVirtualNetworkSubnetConfig. В следующем примере создается конфигурация подсети для подсети с именем subnet-public:

   $subpub = @{
       Name = "subnet-public"
       AddressPrefix = "10.0.0.0/24"
       VirtualNetwork = $virtualNetwork
   }
   $subnetConfigPublic = Add-AzVirtualNetworkSubnetConfig @subpub
   

4. Создайте подсеть в виртуальной сети, записав параметры конфигурации подсети в виртуальную сеть с помощью команды Set-AzVirtualNetwork.

   $virtualNetwork | Set-AzVirtualNetwork
   

5. Создайте другую подсеть в виртуальной сети. В этом примере создается подсеть с именем subnet-private с конечной точкой службы для Microsoft.Storage:

   $subpriv = @{
       Name = "subnet-private"
       AddressPrefix = "10.0.2.0/24"
       VirtualNetwork = $virtualNetwork
       ServiceEndpoint = "Microsoft.Storage"
   }
   $subnetConfigPrivate = Add-AzVirtualNetworkSubnetConfig @subpriv
   
   $virtualNetwork | Set-AzVirtualNetwork
   

Развертывание Бастиона Azure

Бастион Azure использует браузер для подключения к виртуальным машинам в виртуальной сети через Secure Shell (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Дополнительные сведения о Бастионе см. в статье "Что такое Бастион Azure"?

Почасовая оплата начинается с момента установки Bastion, независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

1. Настройте подсеть Бастиона для виртуальной сети. Эта подсеть зарезервирована исключительно для ресурсов Бастиона и должна называться AzureBastionSubnet.

   $subnet = @{
       Name = 'AzureBastionSubnet'
       VirtualNetwork = $virtualNetwork
       AddressPrefix = '10.0.1.0/26'
   }
   $subnetConfig = Add-AzVirtualNetworkSubnetConfig @subnet
   

2. Задайте конфигурацию:

   $virtualNetwork | Set-AzVirtualNetwork
   

3. Создайте общедоступный IP-адрес бастиона. Сервер Бастиона использует общедоступный IP-адрес для доступа к SSH и RDP по порту 443.

   $ip = @{
           ResourceGroupName = 'test-rg'
           Name = 'public-ip'
           Location = 'westus2'
           AllocationMethod = 'Static'
           Sku = 'Standard'
           Zone = 1,2,3
   }
   New-AzPublicIpAddress @ip
   

4. Используйте команду New-AzBastion для создания нового узла бастиона SKU Basic в AzureBastionSubnet:

   $bastion = @{
       Name = 'bastion'
       ResourceGroupName = 'test-rg'
       PublicIpAddressRgName = 'test-rg'
       PublicIpAddressName = 'public-ip'
       VirtualNetworkRgName = 'test-rg'
       VirtualNetworkName = 'vnet-1'
       Sku = 'Basic'
   }
   New-AzBastion @bastion -AsJob
   

   Развертывание ресурсов Бастиона занимает около 10 минут. В следующем разделе можно создать виртуальные машины, пока Bastion развертывается в вашей виртуальной сети.

CLI

Создание виртуальной сети

1. Перед созданием виртуальной сети необходимо создать для нее группу ресурсов и другие компоненты, указанные в этой статье. Создайте группу ресурсов с помощью команды az group create. В следующем примере создается группа ресурсов с именем test-rg в расположении westus2 .

   az group create \
     --name test-rg \
     --location westus2
   

2. Создайте виртуальную сеть с одной подсетью при помощи команды az network vnet create.

   az network vnet create \
     --name vnet-1 \
     --resource-group test-rg \
     --address-prefix 10.0.0.0/16 \
     --subnet-name subnet-public \
     --subnet-prefix 10.0.0.0/24
   

3. Вы можете включить конечные точки службы только для служб, поддерживающих конечные точки службы. Просмотрите, какие службы с поддержкой конечных точек доступны в регионе Azure, выполнив команду az network vnet list-endpoint-services. В следующем примере возвращается список служб с поддержкой конечной точки службы, доступных в регионе westus2 . Список возвращаемых служб со временем будет увеличиваться, так как поддержка конечных точек службы будет реализовываться во все большем числе служб Azure.

   az network vnet list-endpoint-services \
     --location westus2 \
     --out table
   

4. Создайте другую подсеть в виртуальной сети с az network vnet subnet create. В этом примере для подсети создается конечная точка Microsoft.Storage службы:

   az network vnet subnet create \
     --vnet-name vnet-1 \
     --resource-group test-rg \
     --name subnet-private \
     --address-prefix 10.0.1.0/24 \
     --service-endpoints Microsoft.Storage
   

5. Создайте подсеть бастиона с az network vnet subnet create.

   az network vnet subnet create \
     --vnet-name vnet-1 \
     --resource-group test-rg \
     --name AzureBastionSubnet \
     --address-prefix 10.0.2.0/26
   

6. Создайте общедоступный IP-адрес для узла Бастиона Azure с помощью az network public-ip create.

   az network public-ip create \
     --resource-group test-rg \
     --name public-ip-bastion \
     --sku Standard \
     --location westus2
   

7. Создайте узел Azure Bastion с помощью az network bastion create.

   az network bastion create \
     --resource-group test-rg \
     --name bastion \
     --vnet-name vnet-1 \
     --public-ip-address public-ip-bastion \
     --location westus2 \
     --sku Basic \
     --no-wait
   

Ограничение сетевого доступа для подсети

Портал

По умолчанию все экземпляры виртуальных машин в подсети могут обмениваться данными со всеми ресурсами. Вы можете ограничить обмен данными со всеми ресурсами в подсети, создав группу безопасности сети и связав ее с подсетью.

1. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

2. В группах безопасности сети нажмите кнопку +Создать.

3. На вкладке основных сведений страницы Создание группы безопасности сети введите или выберите указанные ниже значения параметров.

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об инстанции
   Имя.	Введите nsg-storage.
   Область/регион	Выберите регион Восточная часть США 2.

4. Выберите Проверить и создать, а затем выберите Создать.

PowerShell

1. Создайте группу безопасности сети с помощью команды New-AzNetworkSecurityGroup. В следующем примере создается группа безопасности сети с именем nsg-private.

   $nsgpriv = @{
       ResourceGroupName = 'test-rg'
       Location = 'westus2'
       Name = 'nsg-private'
   }
   $nsg = New-AzNetworkSecurityGroup @nsgpriv
   

CLI

Создайте группу безопасности сети с помощью команды az network nsg create. В следующем примере создается группа безопасности сети с именем nsg-private.

az network nsg create \
  --resource-group test-rg \
  --name nsg-private

Создание правил для исходящей группы безопасности сети (NSG)

Портал

1. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

2. Выберите nsg-storage.

3. В разделе Параметры выберите Правила безопасности для исходящего трафика.

4. Выберите + Добавить.

5. Создайте правило, разрешающее исходящий обмен данными в службе хранилища Azure. Введите или выберите следующие сведения в Добавить правило безопасности для исходящего трафика:

   Настройка	Значение
   Исходный материал	Выберите Service Tag (Тег службы).
   Тег службы источника	Выберите VirtualNetwork.
   Диапазоны исходных портов	Оставьте значение по умолчанию *.
   Назначение	Выберите Service Tag (Тег службы).
   Тег сервиса назначения	Выберите Хранилище.
   Сервис	Оставьте значение по умолчанию custom.
   Диапазоны портов назначения	Введите 445.
   Протокол	Выберите Любое.
   Действие	Выберите Разрешить.
   Приоритет	Оставьте значение по умолчанию 100.
   Имя.	Введите allow-storage-all.

6. Выберите + Добавить.

7. Создайте другое правило безопасности, которое запрещает исходящие подключения через Интернет. Это правило переопределяет правило по умолчанию во всех группах безопасности сети, которое позволяет исходящую связь через Интернет. Воспользуйтесь следующими значениями в Добавить правило безопасности для исходящего трафика, чтобы завершить предыдущие шаги.

   Настройка	Значение
   Исходный материал	Выберите Service Tag (Тег службы).
   Тег службы источника	Выберите VirtualNetwork.
   Диапазоны исходных портов	Оставьте значение по умолчанию *.
   Назначение	Выберите Service Tag (Тег службы).
   Тег сервиса назначения	Выберите Интернет.
   Сервис	Оставьте значение по умолчанию custom.
   Диапазоны портов назначения	Введите *.
   Протокол	Выберите Любое.
   Действие	Выберите Отклонить.
   Приоритет	Оставьте значение по умолчанию 110.
   Имя.	Введите deny-internet-all.

8. Выберите Добавить.

9. В поле поиска в верхней части страницы портала найдите группу безопасности сети. В результатах поиска выберите Группы безопасности сети.

10. Выберите nsg-storage.

11. В разделе Параметры выберите Подсети.

12. Нажмите + Ассоциировать.

13. В разделе "Ассоциация подсети" выберите vnet-1 в виртуальной сети. Выберите subnet-private в разделе подсеть.

14. Нажмите ОК.

PowerShell

1. Создание правил безопасности для группы безопасности сети с New-AzNetworkSecurityRuleConfig. Приведенное ниже правило разрешает исходящий доступ к общедоступным IP-адресам, назначенным службе хранилища Azure.

   $r1 = @{
       Name = "Allow-Storage-All"
       Access = "Allow"
       DestinationAddressPrefix = "Storage"
       DestinationPortRange = "*"
       Direction = "Outbound"
       Priority = 100
       Protocol = "*"
       SourceAddressPrefix = "VirtualNetwork"
       SourcePortRange = "*"
   }
   
   $rule1 = New-AzNetworkSecurityRuleConfig @r1
   

2. Следующее правило запрещает доступ ко всем общедоступным IP-адресам. Предыдущее правило переопределяет это правило ввиду более высокого приоритета. Оно предоставляет доступ к общедоступным IP-адресам службы хранилища Azure.

   $r2 = @{
       Name = "Deny-Internet-All"
       Access = "Deny"
       DestinationAddressPrefix = "Internet"
       DestinationPortRange = "*"
       Direction = "Outbound"
       Priority = 110
       Protocol = "*"
       SourceAddressPrefix = "VirtualNetwork"
       SourcePortRange = "*"
   }
   $rule2 = New-AzNetworkSecurityRuleConfig @r2
   

3. Используйте Get-AzNetworkSecurityGroup , чтобы получить объект группы безопасности сети в переменную. Используйте Set-AzNetworkSecurityRuleConfig , чтобы добавить правила в группу безопасности сети.

   # Retrieve the existing network security group
   $nsgpriv = @{
       ResourceGroupName = 'test-rg'
       Name = 'nsg-private'
   }
   $nsg = Get-AzNetworkSecurityGroup @nsgpriv
   
   # Add the new rules to the security group
   $nsg.SecurityRules += $rule1
   $nsg.SecurityRules += $rule2
   
   # Update the network security group with the new rules
   Set-AzNetworkSecurityGroup -NetworkSecurityGroup $nsg
   

4. Присоедините группу безопасности сети к подсети subnet-private с помощью Set-AzVirtualNetworkSubnetConfig и затем запишите конфигурацию подсети в виртуальную сеть. В следующем примере группа безопасности сети nsg-private ассоциируется с подсетью subnet-private:

   $subnet = @{
       VirtualNetwork = $VirtualNetwork
       Name = "subnet-private"
       AddressPrefix = "10.0.2.0/24"
       ServiceEndpoint = "Microsoft.Storage"
       NetworkSecurityGroup = $nsg
   }
   Set-AzVirtualNetworkSubnetConfig @subnet
   
   $virtualNetwork | Set-AzVirtualNetwork
   

CLI

1. Создайте правила безопасности командой az network nsg rule create. Приведенное ниже правило разрешает исходящий доступ к общедоступным IP-адресам, назначенным службе хранилища Azure.

   az network nsg rule create \
     --resource-group test-rg \
     --nsg-name nsg-private \
     --name Allow-Storage-All \
     --access Allow \
     --protocol "*" \
     --direction Outbound \
     --priority 100 \
     --source-address-prefix "VirtualNetwork" \
     --source-port-range "*" \
     --destination-address-prefix "Storage" \
     --destination-port-range "*"
   

2. Каждая группа безопасности сети содержит несколько правил безопасности по умолчанию. Следующее правило переопределяет правило безопасности по умолчанию, разрешающее исходящий доступ ко всем общедоступным IP-адресам. Параметр destination-address-prefix "Internet" запрещает доступ ко всем общедоступным IP-адресам. Предыдущее правило переопределяет это правило ввиду более высокого приоритета. Оно предоставляет доступ к общедоступным IP-адресам службы хранилища Azure.

   az network nsg rule create \
     --resource-group test-rg \
     --nsg-name nsg-private \
     --name Deny-Internet-All \
     --access Deny \
     --protocol "*" \
     --direction Outbound \
     --priority 110 \
     --source-address-prefix "VirtualNetwork" \
     --source-port-range "*" \
     --destination-address-prefix "Internet" \
     --destination-port-range "*"
   

3. Следующее правило разрешает входящий трафик SSH в подсеть из любой точки. Это правило переопределяет правило безопасности по умолчанию, запрещающее весь входящий трафик из Интернета. В подсети разрешено использование SSH, так чтобы позже можно было проверить подключение.

   az network nsg rule create \
     --resource-group test-rg \
     --nsg-name nsg-private \
     --name Allow-SSH-All \
     --access Allow \
     --protocol Tcp \
     --direction Inbound \
     --priority 120 \
     --source-address-prefix "*" \
     --source-port-range "*" \
     --destination-address-prefix "VirtualNetwork" \
     --destination-port-range "22"
   

4. Свяжите группу безопасности сети с частной подсетью с помощью команды az network vnet subnet update. В следующем примере группа безопасности сети nsg-private ассоциируется с подсетью subnet-private:

   az network vnet subnet update \
     --vnet-name vnet-1 \
     --name subnet-private \
     --resource-group test-rg \
     --network-security-group nsg-private
   

Ограничение сетевого доступа к ресурсу

Портал

Действия, необходимые для ограничения сетевого доступа к ресурсам, созданным через службы Azure, которые включены для конечных точек служб, зависят от служб. Ознакомьтесь с документацией по отдельным службам, чтобы получить точные инструкции для них. В оставшейся части этого руководства в качестве примера приведены инструкции по ограничению сетевого доступа для учетной записи службы хранилища Azure.

Создание учетной записи хранилища

1. В поле поиска в верхней части портала введите Учетная запись хранения. Выберите Учетные записи хранения в результатах поиска.

2. Выберите + Создать.

3. На вкладке "Основы" создайте учетную запись хранения, введите или выберите следующие сведения:

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку Azure.
   Группа ресурсов	Выберите test-rg.
   Сведения об инстанции
   Название учетной записи хранилища	Введите уникальное имя. В этом руководстве используется хранилище1. Если имя недоступно, введите уникальное имя.
   Расположение	Выберите регион (США) Восточная часть США 2.
   Производительность	Оставьте значение по умолчанию Стандартная.
   Избыточность	Выберите Локально избыточное хранилище (LRS).

4. Выберите Review.

5. Нажмите кнопку создания.

PowerShell

1. Чтобы создать учетную запись хранения Azure, используйте командлет New-AzStorageAccount. Замените <replace-with-your-unique-storage-account-name> именем, которое является уникальным для всех расположений Azure, содержащим только цифры и строчные буквы (длиной от 3 до 24 знаков).

   $storageAcctName = '<replace-with-your-unique-storage-account-name>'
   
   $storage = @{
       Location = 'westus2'
       Name = $storageAcctName
       ResourceGroupName = 'test-rg'
       SkuName = 'Standard_LRS'
       Kind = 'StorageV2'
   }
   New-AzStorageAccount @storage
   

2. После создания учетной записи хранения получите ключ учетной записи хранения и сохраните его в переменной, выполнив командлет Get-AzStorageAccountKey:

   $storagekey = @{
     ResourceGroupName = 'test-rg'
     AccountName       = $storageAcctName
   }
   $storageAcctKey = (Get-AzStorageAccountKey @storagekey).Value[0]
   

   Этот ключ потребуется для создания файлового ресурса на более позднем этапе. Введите $storageAcctKey и запишите значение. Вы вручную вводите его на более позднем шаге, когда сопоставляете общую папку с диском в виртуальной машине.

CLI

Действия, необходимые для ограничения сетевого доступа к ресурсам, созданным с помощью служб Azure, использующих конечные точки службы, отличаются в зависимости от службы. Ознакомьтесь с документацией по отдельным службам, чтобы получить точные инструкции для них. В оставшейся части этой статьи в качестве примера приведены инструкции по ограничению сетевого доступа для учетной записи хранения Azure.

Создание учетной записи хранилища

1. Создайте учетную запись хранения Azure с помощью команды az storage account create. Замените <replace-with-your-unique-storage-account-name> именем, которое является уникальным для всех расположений Azure, содержащим только цифры и строчные буквы (длиной от 3 до 24 знаков).

   storageAcctName="<replace-with-your-unique-storage-account-name>"
   
   az storage account create \
     --name $storageAcctName \
     --resource-group test-rg \
     --sku Standard_LRS \
     --kind StorageV2
   

2. После создания учетной записи хранения получите строку подключения для этой учетной записи и сохраните ее в переменной с помощью команды az storage account show-connection-string. Строка подключения используется для создания общего доступа к файлам на более позднем этапе.

   saConnectionString=$(az storage account show-connection-string \
     --name $storageAcctName \
     --resource-group test-rg \
     --query 'connectionString' \
     --out tsv)
   

Это важно

Корпорация Майкрософт рекомендует использовать самый безопасный поток проверки подлинности. Поток проверки подлинности, описанный в этой процедуре, требует очень высокого уровня доверия к приложению и несет риски, которые отсутствуют в других потоках. Этот поток следует использовать только в том случае, если другие более безопасные потоки, такие как идентификации с управлением, не являются приемлемыми.

Дополнительные сведения о подключении к учетной записи хранения с помощью управляемого удостоверения см. в статье "Использование управляемого удостоверения для доступа к служба хранилища Azure".

Создайте файловую общую папку в учетной записи хранения

Портал

1. В поле поиска в верхней части портала введите Учетная запись хранения. Выберите Учетные записи хранения в результатах поиска.

2. В учетных записях хранения выберите учетную запись хранения, созданную на предыдущем шаге.

3. В хранилище данных выберите общие папки.

4. Выберите + Общий доступ к файлам.

5. Введите или выберите следующие сведения в новой общей папке:

   Настройка	Значение
   Имя.	Введите файловый обмен.
   Уровень	Оставьте значение по умолчанию Оптимизировано для транзакций.

6. Нажмите кнопку "Далее" — резервное копирование.

7. Отмена выбора включения резервного копирования.

8. Выберите Проверить и создать, а затем выберите Создать.

PowerShell

1. Создайте объект контекста для учетной записи хранения и ключа, выполнив командлет New-AzStorageContext. Этот контекст инкапсулирует имя учетной записи хранения и ее ключ.

   $storagecontext = @{
       StorageAccountName = $storageAcctName
       StorageAccountKey = $storageAcctKey
   }
   $storageContext = New-AzStorageContext @storagecontext
   

2. Создайте общий доступ к файлам с помощью командлета New-AzStorageShare:

   $fs = @{
       Name = "file-share"
       Context = $storageContext
   }
   $share = New-AzStorageShare @fs
   

CLI

1. Создайте файловую общую папку в учетной записи хранения, используя команду az storage share create. На следующем этапе данный файловый ресурс будет подключен для подтверждения того, что к нему есть сетевой доступ.

   az storage share create \
     --name file-share \
     --quota 2048 \
     --connection-string $saConnectionString > /dev/null
   

Ограничение сетевого доступа к подсети

Портал

По умолчанию учетные записи хранения принимают сетевые подключения от клиентов из любой сети, включая Интернет. Вы можете ограничить доступ к сети из Интернета, а также ко всем остальным подсетям во всех виртуальных сетях (за исключением подсети subnet-private в виртуальной сети vnet-1).

Ограничение сетевого доступа к подсети:

1. В поле поиска в верхней части портала введите Учетная запись хранения. Выберите Учетные записи хранения в результатах поиска.

2. Затем выберите учетную запись хранения.

3. В разделе "Безопасность и сеть" выберите "Сеть".

4. На вкладке "Брандмауэры и виртуальные сети" выберите "Включено из выбранных виртуальных сетей и IP-адресов" в доступе к общедоступной сети.

5. В виртуальных сетях выберите + Добавить существующую виртуальную сеть.

6. В разделе "Добавление сетей" введите или выберите следующие сведения:

   Настройка	Значение
   Подписка	Выберите свою подписку.
   Виртуальные сети	Выберите vnet-1.
   подсети;	Выберите subnet-private.

   

7. Выберите Добавить.

8. Нажмите кнопку "Сохранить", чтобы сохранить конфигурации виртуальной сети.

PowerShell

1. По умолчанию учетные записи хранения принимают сетевые подключения клиентов в любой сети. Чтобы ограничить доступ к выбранным сетям, измените действие по умолчанию на Запретить, используя командлет Update-AzStorageAccountNetworkRuleSet. После запрета доступа к сети учетная запись хранения недоступна из любой сети.

   $storagerule = @{
       ResourceGroupName = "test-rg"
       Name = $storageAcctName
       DefaultAction = "Deny"
   }
   Update-AzStorageAccountNetworkRuleSet @storagerule
   

2. Извлеките созданную виртуальную сеть, выполнив командлет Get-AzVirtualNetwork, а затем передайте объект подсети Private в переменную с помощью командлета Get-AzVirtualNetworkSubnetConfig:

   $subnetpriv = @{
       ResourceGroupName = "test-rg"
       Name = "vnet-1"
   }
   $privateSubnet = Get-AzVirtualNetwork @subnetpriv | Get-AzVirtualNetworkSubnetConfig -Name "subnet-private"
   

3. Разрешить сетевой доступ к учетной записи хранения из подсети-частной подсети с помощью Add-AzStorageAccountNetworkRule.

   $storagenetrule = @{
       ResourceGroupName = "test-rg"
       Name = $storageAcctName
       VirtualNetworkResourceId = $privateSubnet.Id
   }
   Add-AzStorageAccountNetworkRule @storagenetrule
   

CLI

1. По умолчанию учетные записи хранения принимают сетевые подключения клиентов в любой сети. Чтобы ограничить доступ выбранными сетями, измените действие по умолчанию на Запретить, выполнив команду az storage account update. После запрета доступа к сети учетная запись хранения недоступна из любой сети.

   az storage account update \
     --name $storageAcctName \
     --resource-group test-rg \
     --default-action Deny
   

2. Разрешить сетевой доступ к учетной записи хранения из подсети-частной с помощью команды az storage account network-rule add.

   az storage account network-rule add \
     --resource-group test-rg \
     --account-name $storageAcctName \
     --vnet-name vnet-1 \
     --subnet subnet-private
   

Развертывание виртуальных машин в подсетях

Портал

Чтобы проверить сетевой доступ к учетной записи хранения, разверните виртуальную машину в каждой подсети.

Создание первой виртуальной машины

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите + Создать, затем выберите Виртуальная машина Azure.

3. В разделе "Создание виртуальной машины " или на вкладке "Основные сведения" выберите следующие сведения:

   Настройка	Значение
   Сведения о проекте
   Подписка	Выберите свою подписку.
   Группа ресурсов	Выберите test-rg.
   Сведения об инстанции
   Имя виртуальной машины	Введите vm-1.
   Область/регион	Выберите регион (США) Восточная часть США 2.
   Параметры доступности	Выберите Избыточность инфраструктуры не требуется.
   Тип безопасности	Выберите Стандартное.
   Изображение	Выберите Ubuntu Server 24.04 LTS — x64 Gen2.
   Архитектура виртуальной машины	Оставьте значение по умолчанию x64.
   Размер	Выберите размер.
   Учетная запись администратора
   Тип аутентификации	Выберите Открытый ключ SSH.
   Имя пользователя	Введите имя пользователя.
   SSH public key source (Источник открытого ключа SSH)	Выберите Создать новую пару ключей.
   Имя пары ключей	Введите vm-1-key.
   Правила входящего порта
   Общедоступные входящие порты	Выберите Отсутствует.

4. Нажмите кнопку "Далее": диски , а затем " Далее: сеть".

5. На вкладке "Сеть" введите или выберите следующие сведения:

   Настройка	Значение
   Сетевой интерфейс
   Виртуальная сеть	Выберите vnet-1.
   Подсеть	Выберите субсеть-1 (10.0.0.0/24).
   Общедоступный IP-адрес	Выберите Отсутствует.
   Группа безопасности сети сетевого интерфейса (NIC)	Выберите Дополнительно.
   Настройка группы безопасности сети	Выберите Создать новый. В поле "Имя" введите nsg-1. Нажмите кнопку ОК.

6. Оставьте остальные параметры по умолчанию и выберите "Просмотр и создание".

7. Нажмите кнопку создания.

Примечание.

Виртуальные машины в виртуальной сети с узлом бастиона не требуют общедоступных IP-адресов. Бастион предоставляет общедоступный IP-адрес, а виртуальные машины используют частные IP-адреса для обмена данными в сети. Вы можете удалить общедоступные IP-адреса из любых виртуальных машин в размещенных виртуальных сетях бастиона. Дополнительные сведения см. в разделе "Отсообщение общедоступного IP-адреса" с виртуальной машины Azure.

Примечание.

Azure предоставляет IP-адрес исходящего доступа по умолчанию для виртуальных машин, которые либо не назначены общедоступным IP-адресом, либо находятся в серверном пуле внутренней подсистемы балансировки нагрузки Azure. Механизм IP-адреса исходящего трафика по умолчанию предоставляет исходящий IP-адрес, который нельзя настроить.

IP-адрес исходящего доступа по умолчанию отключен при возникновении одного из следующих событий:

• Общедоступный IP-адрес назначается виртуальной машине.
• Виртуальная машина размещается в серверном пуле стандартной подсистемы балансировки нагрузки с правилами исходящего трафика или без нее.
• Ресурс шлюза NAT Azure привязан к подсети виртуальной машины.

Виртуальные машины, созданные с помощью масштабируемых наборов виртуальных машин в гибком режиме оркестрации, не имеют исходящего доступа по умолчанию.

Дополнительные сведения об исходящих подключениях в Azure см. в статье об исходящем доступе по умолчанию в Azure и использовании преобразования исходящих сетевых адресов (SNAT) для исходящих подключений.

Создание второй виртуальной машины

1. Создайте вторую виртуальную машину, повторяющую шаги, описанные в предыдущем разделе. Замените следующие значения в разделе "Создание виртуальной машины".

   Настройка	Значение
   Имя виртуальной машины	Введите vm-private.
   SSH public key source (Источник открытого ключа SSH)	Выберите Создать новую пару ключей.
   Имя пары ключей	Введите ключ виртуальной машины.
   Подсеть	Выберите subnet-private.
   Общедоступный IP-адрес	Выберите Отсутствует.
   Группа безопасности сети сетевого интерфейса (NIC)	Выберите Отсутствует.

   Предупреждение

   Не переходите к следующему шагу, пока развертывание не будет завершено.

PowerShell

Создание первой виртуальной машины

Создайте виртуальную машину в подсети subnet-public с использованием New-AzVM.

$cred = New-Object System.Management.Automation.PSCredential("azureuser", (ConvertTo-SecureString " " -AsPlainText -Force))
$vm1 = @{
    ResourceGroupName = "test-rg"
    Location = "westus2"
    VirtualNetworkName = "vnet-1"
    SubnetName = "subnet-public"
    Name = "vm-public"
    Image = "Ubuntu2204"
    Credential = $cred
    PublicIpAddressName = ""
    GenerateSshKey = $true
    SshKeyName = "vm-public-key"
}
New-AzVm @vm1

Создание второй виртуальной машины

Создайте виртуальную машину в подсети subnet-private.

$vm2 = @{
    ResourceGroupName = "test-rg"
    Location = "westus2"
    VirtualNetworkName = "vnet-1"
    SubnetName = "subnet-private"
    Name = "vm-private"
    Image = "Ubuntu2204"
    Credential = $cred
    PublicIpAddressName = ""
    GenerateSshKey = $true
    SshKeyName = "vm-private-key"
}
New-AzVm @vm2

Создание виртуальной машины в Azure занимает несколько минут. Не продолжайте переходить к следующему шагу, пока Azure не завершит создание виртуальной машины и возвращает выходные данные в PowerShell.

CLI

Чтобы проверить сетевой доступ к учетной записи хранения, разверните виртуальную машину в каждой подсети.

Создание первой виртуальной машины

Создайте виртуальную машину в subnet-public с помощью команды az vm create. Команда также создает ключи SSH, если они не существуют в расположении ключей по умолчанию. Чтобы использовать определенный набор ключей, используйте параметр --ssh-key-value.

az vm create \
  --resource-group test-rg \
  --name vm-public \
  --image Ubuntu2204 \
  --vnet-name vnet-1 \
  --subnet subnet-public \
  --admin-username azureuser \
  --generate-ssh-keys

Создание виртуальной машины занимает несколько минут. После создания виртуальной машины в Azure CLI отображаются примерно такие данные:

{
  "fqdns": "",
  "id": "/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/test-rg/providers/Microsoft.Compute/virtualMachines/vm-public",
  "location": "westus2",
  "macAddress": "00-0D-3A-23-9A-49",
  "powerState": "VM running",
  "privateIpAddress": "10.0.0.4",
  "publicIpAddress": "203.0.113.24",
  "resourceGroup": "test-rg"
}

Создание второй виртуальной машины

az vm create \
  --resource-group test-rg \
  --name vm-private \
  --image Ubuntu2204 \
  --vnet-name vnet-1 \
  --subnet subnet-private \
  --admin-username azureuser \
  --generate-ssh-keys

Создание виртуальной машины занимает несколько минут.

Подтверждение прав доступа к учетной записи хранения

Портал

Созданная ранее виртуальная машина, назначенная в subnet-private подсеть, используется для подтверждения доступа к учетной записи хранения. Виртуальная машина, созданная в предыдущем разделе и назначенная в подсеть subnet-1, используется для подтверждения блокировки доступа к учетной записи хранения.

Получение ключа доступа к учетной записи хранения

1. В поле поиска в верхней части портала введите Учетная запись хранения. Выберите Учетные записи хранения в результатах поиска.

2. В учетных записях хранения выберите учетную запись хранения.

3. В разделе "Безопасность и сеть" выберите ключи доступа.

4. Скопируйте значение key1. Чтобы отобразить ключ, может потребоваться выбрать кнопку "Показать ".

   

5. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

6. Выберите vm-private.

7. Выберите Бастион в Операциях.

8. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

9. Введите имя пользователя, указанное при создании виртуальной машины.

10. Выберите скачанный файл закрытого ключа vm.

11. Нажмите Подключиться.

12. Чтобы подключить общий ресурс файлов Azure, используйте следующие команды.

    • Замените <storage-account-key> на ключ, который вы скопировали на предыдущем шаге.

    • Замените <storage-account-name> именем своей учетной записи хранения. В этом примере это storage8675.

     sudo mkdir /mnt/file-share
    
     sudo mount -t cifs //<storage-account-name>.file.core.windows.net/file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
    

13. Вы получите $ приглашение без ошибок. Файловое хранилище Azure успешно подключено к /mnt/file-share.

14. Подтвердите подключение, выполнив следующую команду:

     df -h /mnt/file-share
    

    Вы должны увидеть результат, аналогичный приведенному ниже:

    Filesystem                                       Size  Used Avail Use% Mounted on
    //<storage-account-name>.file.core.windows.net/file-share  5.0G   0   5.0G   0% /mnt/file-share
    

15. Закройте подключение Bastion к vm-private.

PowerShell

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-private.

3. Выберите Бастион в Операциях.

4. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

5. Введите имя пользователя, указанное при создании виртуальной машины.

6. Выберите файл закрытого ключа SSH на локальном компьютере.

7. Нажмите Подключиться.

8. Чтобы подключить файловое хранилище Azure, используйте следующие команды.

   • Замените <storage-account-key> на ключ, полученный в Create a storage account.

   • Замените <storage-account-name> именем своей учетной записи хранения. В этом примере это storage8675.

    sudo mkdir /mnt/file-share
   
    sudo mount -t cifs //<storage-account-name>.file.core.windows.net/file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
   

9. Вы получите $ приглашение без ошибок. Файловое хранилище Azure успешно подключено к /mnt/file-share.

10. Убедитесь, что виртуальная машина запрещает любые исходящие подключения с любых других общедоступных IP-адресов.

    ping bing.com -c 4
    

    Вы не получаете ответов, так как группа безопасности сети, связанная с подсетью- частной подсети, не разрешает исходящий доступ к общедоступным IP-адресам, кроме адресов, назначенных службе служба хранилища Azure.

11. Закройте подключение Bastion к vm-private.

CLI

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-private.

3. Выберите Бастион в Операциях.

4. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

5. Введите имя пользователя, указанное при создании виртуальной машины.

6. Выберите файл закрытого ключа SSH на локальном компьютере. Ключ по умолчанию, сгенерированный --generate-ssh-keys, находится в ~/.ssh/id_rsa.

7. Нажмите Подключиться.

8. Создайте папку для точки подключения.

   sudo mkdir /mnt/file-share
   

9. Подключите файловое хранилище Azure к созданному каталогу. Прежде чем выполнить следующую команду, замените <storage-account-name> именем учетной записи и <storage-account-key> ключом, которые вы получили при создании учетной записи хранения.

   sudo mount -t cifs //<storage-account-name>.file.core.windows.net/my-file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
   

   Вы получите приглашение командной строки $ без ошибок. Файловое хранилище Azure успешно подключено к /mnt/file-share.

10. Убедитесь, что виртуальная машина запрещает любые исходящие подключения с любых других общедоступных IP-адресов.

    ping bing.com -c 4
    

    Вы не получаете ответов, так как группа безопасности сети, связанная с подсетью- частной подсети, не разрешает исходящий доступ к общедоступным IP-адресам, кроме адресов, назначенных службе служба хранилища Azure.

11. Закройте подключение Bastion к vm-private.

Подтверждение запрета доступа к учетной записи хранения

Портал

Из vm-1

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-1.

3. Выберите Бастион в Операциях.

4. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

5. Введите имя пользователя, указанное при создании виртуальной машины.

6. Выберите файл закрытого ключа vm-1-key, который вы скачали.

7. Нажмите Подключиться.

8. Повторите предыдущую команду, чтобы попытаться подключить общую папку в учетной записи хранения. Для этой процедуры может потребоваться скопировать ключ доступа к учетной записи хранения:

    sudo mkdir /mnt/file-share
   
    sudo mount -t cifs //<storage-account-name>.file.core.windows.net/file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
   

9. Доступ запрещен и вы получаете ошибку mount error(13): Permission denied . Подключение завершается ошибкой, так как виртуальная машина-1 находится в подсети-1, которая не имеет конечной точки службы для службы хранилища Azure.

10. Закройте подключение Bastion к vm-1.

С локального компьютера

1. В поле поиска в верхней части портала введите Учетная запись хранения. Выберите Учетные записи хранения в результатах поиска.

2. В учетных записях хранения выберите учетную запись хранения.

3. В хранилище данных выберите общие папки.

4. Выберите файлообмен.

5. Выберите "Обзор " в меню слева.

6. Должно появиться следующее сообщение об ошибке:

   

Примечание.

Доступ запрещен, так как ваш компьютер не находится в подсети subnet-private виртуальной сети vnet-1.

PowerShell

Из общедоступной виртуальной машины

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-public.

3. Выберите Бастион в Операциях.

4. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

5. Введите имя пользователя, указанное при создании виртуальной машины.

6. Выберите файл закрытого ключа SSH на локальном компьютере.

7. Нажмите Подключиться.

8. Попытайтесь подключить общую папку Azure. Замените <storage-account-name> именем учетной записи и <storage-account-key> ключом, извлеченным в разделе "Создание учетной записи хранения":

    sudo mkdir /mnt/file-share
   
    sudo mount -t cifs //<storage-account-name>.file.core.windows.net/file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
   

9. Доступ запрещен и вы получаете ошибку mount error(13): Permission denied . Подключение завершается ошибкой, так как vm-public находится в subnet-public, которая не имеет конечной точки для хранилища Azure.

10. Закройте подключение Bastion к общедоступной виртуальной машине vm-public.

11. Используя свой компьютер, попытайтесь просмотреть файловые ресурсы в учетной записи хранения, выполнив следующую команду.

    $storage = @{
        ShareName = "file-share"
        Context = $storageContext
    }
    Get-AzStorageFile @storage
    

    Отказано в доступе. Вы получите выходные данные, аналогичные следующему примеру.

     Get-AzStorageFile : The remote server returned an error: (403) Forbidden. HTTP Status Code: 403 - HTTP Error Message: This request isn't authorized to perform this operation
    

    Ваш компьютер не находится в подсети subnet-private виртуальной сети vnet-1.

CLI

1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

2. Выберите vm-public.

3. Выберите Бастион в Операциях.

4. Выберите закрытый ключ SSH из локального файла для типа проверки подлинности.

5. Введите имя пользователя, указанное при создании виртуальной машины.

6. Выберите файл закрытого ключа SSH на локальном компьютере. Ключ по умолчанию, созданный --generate-ssh-keys, находится по адресу ~/.ssh/id_rsa.

7. Нажмите Подключиться.

8. Создайте каталог для точки подключения.

   sudo mkdir /mnt/file-share
   

9. Попытайтесь подключить файловый ресурс Azure к каталогу, который вы создали. Прежде чем выполнить следующую команду, замените <storage-account-name> именем учетной записи и <storage-account-key> ключом, которые вы получили при создании учетной записи хранения.

   sudo mount -t cifs //<storage-account-name>.file.core.windows.net/file-share /mnt/file-share -o vers=3.0,username=<storage-account-name>,password=<storage-account-key>,dir_mode=0777,file_mode=0777,serverino
   

   Доступ запрещен, и вы получаете ошибку mount error(13): Permission denied, так как виртуальная машина vm-public развернута в общедоступной подсети subnet-public. В подсети-общедоступной не включена конечная точка службы для хранения Azure, и учетная запись хранения разрешает сетевой доступ только из подсети-частной, а не из подсети-общедоступной.

10. Закройте подключение Bastion к общедоступной виртуальной машине.

11. Используя свой компьютер, попытайтесь просмотреть файловые ресурсы в учетной записи хранения, выполнив команду az storage share list. Замените <account-name> и <account-key> именем и ключом учетной записи хранения, полученными при создании учетной записи хранения.

    az storage share list \
      --account-name <account-name> \
      --account-key <account-key>
    

    Доступ запрещен, и вы получаете ошибку этот запрос не авторизован для выполнения этой операции, так как ваш компьютер не находится в подсети subnet-private виртуальной сети vnet-1.

Портал

Завершив использование созданных ресурсов, можно удалить группу ресурсов и все ее ресурсы.

1. Войдите на портал Azure; найдите в поиске и выберите Группы ресурсов.

2. На странице групп ресурсов выберите группу ресурсов test-rg.

3. На странице test-rg выберите "Удалить группу ресурсов".

4. Введите test-rg в поле Ввод имени группы ресурсов, чтобы подтвердить удаление, а затем нажмите кнопку "Удалить".

PowerShell

Вы можете удалить ненужную группу ресурсов и все содержащиеся в ней ресурсы с помощью командлета Remove-AzResourceGroup:

$cleanup = @{
  Name  = "test-rg"
}
Remove-AzResourceGroup @cleanup -Force

CLI

Очистка ресурсов

Вы можете удалить ненужную группу ресурсов и все содержащиеся в ней ресурсы, выполнив команду az group delete.

az group delete \
    --name test-rg \
    --yes \
    --no-wait

Следующие шаги

В этом руководстве рассматриваются следующие темы:

• Вы включили конечную точку службы для подсети виртуальной сети.

• Вы узнали, что конечные точки службы можно включить для ресурсов, развернутых через несколько служб Azure.

• Вы создали учетную запись службы хранилища Azure и ограничили сетевой доступ к учетной записи хранения ресурсами одной подсети в виртуальной сети.

См. дополнительные сведения о конечных точках службы и управляемых подсетях.

Если у вас есть несколько виртуальных сетей в вашей учетной записи, может потребоваться установить подключение между ними, чтобы ресурсы могли взаимодействовать друг с другом. Перейдите к следующему руководству для изучения подключения виртуальных сетей.

Подключение виртуальных сетей