Konfigurera Azure Private Link för ett Azure Cosmos DB-konto

GÄLLER FÖR: NoSQL MongoDB Kassandra Gremlin Bord

Genom att använda Azure Private Link kan du ansluta till ett Azure Cosmos DB-konto via en privat slutpunkt. En privat slutpunkt är en uppsättning av en privat IP-adress i ett visst virtuellt nätverk och undernät. Du kan sedan begränsa åtkomsten till ett Azure Cosmos DB-konto över privata IP-adresser. När Private Link kombineras med restriktiva nätverkssäkerhetsgruppsprinciper (NSG) bidrar det till att minska risken för dataexfiltrering. Mer information om privata slutpunkter finns i Vad är Azure Private Link?

Kommentar

Private Link förhindrar inte att dina Azure Cosmos DB-slutpunkter löses av offentlig DNS. Filtrering av inkommande begäranden sker på programnivå, inte på transport- eller nätverksnivå.

Med Private Link kan användare komma åt ett Azure Cosmos DB-konto från det virtuella nätverket eller från ett peer-kopplat virtuellt nätverk. Resurser som mappas till Private Link är också tillgängliga lokalt via privat peering via VPN eller Azure ExpressRoute.

Du kan ansluta till ett Azure Cosmos DB-konto som konfigurerats med Private Link med hjälp av metoden för automatiskt eller manuellt godkännande. Mer information finns i avsnittet arbetsflöde för godkännande i Private Link-dokumentationen.

I den här artikeln beskrivs hur du konfigurerar privata slutpunkter för Azure Cosmos DB-transaktionslager. Det förutsätter att du använder metoden för automatiskt godkännande. Om du använder analysarkivet läser du Konfigurera privata slutpunkter för analysarkivet.

Skapa en privat slutpunkt med hjälp av Azure Portal

Följ dessa steg för att skapa en privat slutpunkt för ett befintligt Azure Cosmos DB-konto med hjälp av Azure Portal:

1. Logga in på Azure Portal och välj sedan ett Azure Cosmos DB-konto.

2. Välj Nätverk i listan med inställningar och välj sedan + Privat slutpunkt under fliken Privat åtkomst :

   

3. I fönstret Skapa en privat slutpunkt – Grunder anger eller väljer du följande information:

   Inställning	Värde
   Projektinformation
   Prenumeration	Välj din prenumeration.
   Resursgrupp	Välj en resursgrupp.
   Instansinformation
   Name	Ange valfritt namn för din privata slutpunkt. Om det här namnet tas skapar du ett unikt namn.
   Region	Välj den region där du vill distribuera Private Link. Skapa den privata slutpunkten på samma plats där det virtuella nätverket finns.

4. Välj Nästa: Resurs.

5. I fönstret Skapa en privat slutpunkt – resurs anger eller väljer du den här informationen:

   Inställning	Värde
   Anslutningsmetod	Välj Anslut till en Azure-resurs i min katalog. Du kan sedan välja en av dina resurser för att konfigurera Private Link. Eller så kan du ansluta till någon annans resurs med hjälp av ett resurs-ID eller alias som de har delat med dig.
   Prenumeration	Välj din prenumeration.
   Resurstyp	Välj Microsoft.AzureCosmosDB/databaseAccounts.
   Resurs	Välj ditt Azure Cosmos DB-konto.
   Underresurs för mål	Välj den Azure Cosmos DB API-typ som du vill mappa. Detta är som standard bara ett alternativ för API:erna för SQL, MongoDB och Cassandra. För API:erna för Gremlin och Table kan du också välja NoSQL eftersom dessa API:er kan samverka med API:et för NoSQL. Om du har en dedikerad gateway etablerad för ett API för NoSQL-konto visas även ett alternativ för SqlDedicated.

6. Välj Nästa: Virtuellt nätverk.

7. I fönstret Skapa en privat slutpunkt – virtuellt nätverk anger eller väljer du den här informationen:

   Inställning	Värde
   Virtuellt nätverk	Välj ditt virtuella nätverk.
   Undernät	Välj ditt undernät.

8. Välj Nästa: DNS.

9. I fönstret Skapa en privat slutpunkt – DNS anger eller väljer du den här informationen:

   Inställning	Värde
   Integrera med privat DNS-zon	Välj Ja. Du måste ha en DNS-post för att ansluta privat med din privata slutpunkt. Vi rekommenderar att du integrerar din privata slutpunkt med en privat DNS-zon. Du kan också använda dina egna DNS-servrar eller skapa DNS-poster med hjälp av värdfilerna på dina virtuella datorer. När du väljer Ja för det här alternativet skapas även en privat DNS-zongrupp. DNS-zongrupp är en länk mellan den privata DNS-zonen och den privata slutpunkten. Den här länken hjälper dig att uppdatera den privata DNS-zonen automatiskt när det finns en uppdatering av den privata slutpunkten. När du till exempel lägger till eller tar bort regioner uppdateras den privata DNS-zonen automatiskt.
   Konfigurationsnamn	Välj din prenumeration och resursgrupp. Den privata DNS-zonen bestäms automatiskt. Du kan inte ändra det med hjälp av Azure Portal.

10. Välj Nästa: Taggar>Granska + skapa. På sidan Granska + skapa verifierar Azure din konfiguration.

11. När du ser meddelandet Validering som skickats väljer du Skapa.

När du har en godkänd Private Link för ett Azure Cosmos DB-konto i Azure Portal är alternativet Alla nätverk i fönstret Brandvägg och virtuella nätverk inte tillgängligt.

API-typer och privata zonnamn

En mer detaljerad förklaring om privata zoner och DNS-konfigurationer för privat slutpunkt finns i DNS-konfigurationen för azure private endpoint. I följande tabell visas mappningen mellan olika API-typer för Azure Cosmos DB-konton, underresurser som stöds och motsvarande privata zonnamn. Du kan också komma åt Gremlin- och API:et för tabellkonton via API:et för NoSQL, så det finns två poster för dessa API:er. Det finns också en extra post för API:et för NoSQL för konton som använder den dedikerade gatewayen.

Api-typ för Azure Cosmos DB-konto	Underkällor eller grupp-ID:t som stöds	Namn på privat zon
NoSQL	SQL	privatelink.documents.azure.com
NoSQL	SqlDedicated	privatelink.sqlx.cosmos.azure.com
Cassandra	Cassandra	privatelink.cassandra.cosmos.azure.com
Mongo	MongoDB	privatelink.mongo.cosmos.azure.com
Gremlin	Gremlin	privatelink.gremlin.cosmos.azure.com
Gremlin	SQL	privatelink.documents.azure.com
Register	Register	privatelink.table.cosmos.azure.com
Register	SQL	privatelink.documents.azure.com

Hämta de privata IP-adresserna

När den privata slutpunkten har etablerats kan du fråga IP-adresserna. Så här visar du IP-adresserna från Azure Portal:

1. Sök efter den privata slutpunkt som du skapade tidigare. I det här fallet är det cdbPrivateEndpoint3.
2. Välj fliken Översikt för att se DNS-inställningar och IP-adresser.

Flera IP-adresser skapas per privat slutpunkt:

• En för den globala regionagnostiska slutpunkten för Azure Cosmos DB-kontot.
• En för varje region där Azure Cosmos DB-kontot distribueras.

Skapa en privat slutpunkt med hjälp av Azure PowerShell

Kör följande PowerShell-skript för att skapa en privat slutpunkt med namnet MyPrivateEndpoint för ett befintligt Azure Cosmos DB-konto. Ersätt variabelvärdena med information om din miljö.

$SubscriptionId = "<your Azure subscription ID>"
# Resource group where the Azure Cosmos DB account and virtual network resources are located
$ResourceGroupName = "myResourceGroup"
# Name of the Azure Cosmos DB account
$CosmosDbAccountName = "mycosmosaccount"

# Resource for the Azure Cosmos DB account: Sql, SqlDedicated, MongoDB, Cassandra, Gremlin, or Table
$CosmosDbSubResourceType = "Sql"
# Name of the existing virtual network
$VNetName = "myVnet"
# Name of the target subnet in the virtual network
$SubnetName = "mySubnet"
# Name of the private endpoint to create
$PrivateEndpointName = "MyPrivateEndpoint"
# Location where the private endpoint can be created. The private endpoint should be created in the same location where your subnet or the virtual network exists
$Location = "westcentralus"

$cosmosDbResourceId = "/subscriptions/$($SubscriptionId)/resourceGroups/$($ResourceGroupName)/providers/Microsoft.DocumentDB/databaseAccounts/$($CosmosDbAccountName)"

$privateEndpointConnection = New-AzPrivateLinkServiceConnection -Name "myConnectionPS" -PrivateLinkServiceId $cosmosDbResourceId -GroupId $CosmosDbSubResourceType
 
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName  $ResourceGroupName -Name $VNetName  
 
$subnet = $virtualNetwork | Select -ExpandProperty subnets | Where-Object  {$_.Name -eq $SubnetName}  
 
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $ResourceGroupName -Name $PrivateEndpointName -Location $Location -Subnet  $subnet -PrivateLinkServiceConnection $privateEndpointConnection

Integrera den privata slutpunkten med en privat DNS-zon

När du har skapat den privata slutpunkten kan du integrera den med en privat DNS-zon med hjälp av följande PowerShell-skript:

Import-Module Az.PrivateDns

# Zone name differs based on the API type and group ID you are using. 
$zoneName = "privatelink.documents.azure.com"
$zone = New-AzPrivateDnsZone -ResourceGroupName $ResourceGroupName `
  -Name $zoneName

$link  = New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $ResourceGroupName `
  -ZoneName $zoneName `
  -Name "myzonelink" `
  -VirtualNetworkId $virtualNetwork.Id  
 
$pe = Get-AzPrivateEndpoint -Name $PrivateEndpointName `
  -ResourceGroupName $ResourceGroupName

$networkInterface = Get-AzResource -ResourceId $pe.NetworkInterfaces[0].Id `
  -ApiVersion "2019-04-01"

# Create DNS configuration

$PrivateDnsZoneId = $zone.ResourceId

$config = New-AzPrivateDnsZoneConfig -Name $zoneName `
 -PrivateDnsZoneId $PrivateDnsZoneId

## Create a DNS zone group
New-AzPrivateDnsZoneGroup -ResourceGroupName $ResourceGroupName `
 -PrivateEndpointName $PrivateEndpointName `
 -Name "MyPrivateZoneGroup" `
 -PrivateDnsZoneConfig $config

Hämta de privata IP-adresserna

När den privata slutpunkten har etablerats kan du fråga IP-adresserna och FQDN-mappningen med hjälp av följande PowerShell-skript:

$pe = Get-AzPrivateEndpoint -Name MyPrivateEndpoint -ResourceGroupName myResourceGroup
$networkInterface = Get-AzNetworkInterface -ResourceId $pe.NetworkInterfaces[0].Id
foreach ($IPConfiguration in $networkInterface.IpConfigurations)
{
    Write-Host $IPConfiguration.PrivateIpAddress ":" $IPConfiguration.PrivateLinkConnectionProperties.Fqdns
}

Skapa en privat slutpunkt med hjälp av Azure CLI

Kör följande Azure CLI-skript för att skapa en privat slutpunkt med namnet myPrivateEndpoint för ett befintligt Azure Cosmos DB-konto. Ersätt variabelvärdena med information om din miljö.

# Resource group where the Azure Cosmos DB account and virtual network resources are located
ResourceGroupName="myResourceGroup"

# Subscription ID where the Azure Cosmos DB account and virtual network resources are located
SubscriptionId="<your Azure subscription ID>"

# Name of the existing Azure Cosmos DB account
CosmosDbAccountName="mycosmosaccount"

# API type of your Azure Cosmos DB account: Sql, SqlDedicated, MongoDB, Cassandra, Gremlin, or Table
CosmosDbSubResourceType="Sql"

# Name of the virtual network to create
VNetName="myVnet"

# Name of the subnet to create
SubnetName="mySubnet"

# Name of the private endpoint to create
PrivateEndpointName="myPrivateEndpoint"

# Name of the private endpoint connection to create
PrivateConnectionName="myConnection"

az network vnet create \
 --name $VNetName \
 --resource-group $ResourceGroupName \
 --subnet-name $SubnetName

az network vnet subnet update \
 --name $SubnetName \
 --resource-group $ResourceGroupName \
 --vnet-name $VNetName \
 --disable-private-endpoint-network-policies true

az network private-endpoint create \
    --name $PrivateEndpointName \
    --resource-group $ResourceGroupName \
    --vnet-name $VNetName  \
    --subnet $SubnetName \
    --private-connection-resource-id "/subscriptions/$SubscriptionId/resourceGroups/$ResourceGroupName/providers/Microsoft.DocumentDB/databaseAccounts/$CosmosDbAccountName" \
    --group-ids $CosmosDbSubResourceType \
    --connection-name $PrivateConnectionName

Integrera den privata slutpunkten med en privat DNS-zon

När du har skapat den privata slutpunkten kan du integrera den med en privat DNS-zon med hjälp av följande Azure CLI-skript:

#Zone name differs based on the API type and group ID you are using. 
zoneName="privatelink.documents.azure.com"

az network private-dns zone create --resource-group $ResourceGroupName \
   --name  $zoneName

az network private-dns link vnet create --resource-group $ResourceGroupName \
   --zone-name  $zoneName\
   --name myzonelink \
   --virtual-network $VNetName \
   --registration-enabled false 

#Create a DNS zone group
az network private-endpoint dns-zone-group create \
   --resource-group $ResourceGroupName \
   --endpoint-name $PrivateEndpointName \
   --name "MyPrivateZoneGroup" \
   --private-dns-zone $zoneName \
   --zone-name "myzone"

Skapa en privat slutpunkt med hjälp av en Resource Manager-mall

Du kan konfigurera Private Link genom att skapa en privat slutpunkt i ett virtuellt nätverksundernät. Du uppnår detta med hjälp av en Azure Resource Manager-mall.

Använd följande kod för att skapa en Resource Manager-mall med namnet PrivateEndpoint_template.json. Den här mallen skapar en privat slutpunkt för ett befintligt Azure Cosmos DB vAPI för NoSQL-konto i ett befintligt virtuellt nätverk.

Bicep

@description('Location for all resources.')
param location string = resourceGroup().location
param privateEndpointName string
param resourceId string
param groupId string
param subnetId string

resource privateEndpoint 'Microsoft.Network/privateEndpoints@2019-04-01' = {
  name: privateEndpointName
  location: location
  properties: {
    subnet: {
      id: subnetId
    }
    privateLinkServiceConnections: [
      {
        name: 'MyConnection'
        properties: {
          privateLinkServiceId: resourceId
          groupIds: [
            groupId
          ]
          requestMessage: ''
        }
      }
    ]
  }
}

output privateEndpointNetworkInterface string = privateEndpoint.properties.networkInterfaces[0].id

JSON

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "location": {
          "type": "string",
          "defaultValue": "[resourceGroup().location]",
          "metadata": {
            "description": "Location for all resources."
          }
        },
        "privateEndpointName": {
            "type": "string"
        },
        "resourceId": {
            "type": "string"
        },
        "groupId": {
            "type": "string"
        },
        "subnetId": {
            "type": "string"
        }
    },
    "resources": [
        {
            "name": "[parameters('privateEndpointName')]",
            "type": "Microsoft.Network/privateEndpoints",
            "apiVersion": "2019-04-01",
            "location": "[parameters('location')]",
            "properties": {
                "subnet": {
                    "id": "[parameters('subnetId')]"
                },
                "privateLinkServiceConnections": [
                    {
                        "name": "MyConnection",
                        "properties": {
                            "privateLinkServiceId": "[parameters('resourceId')]",
                            "groupIds": [ "[parameters('groupId')]" ],
                            "requestMessage": ""
                        }
                    }
                ]
            }
        }
    ],
    "outputs": {
        "privateEndpointNetworkInterface": {
          "type": "string",
          "value": "[reference(concat('Microsoft.Network/privateEndpoints/', parameters('privateEndpointName'))).networkInterfaces[0].id]"
        }
    }
}

Skapa en parameterfil för mallen och ge den namnet PrivateEndpoint_parameters.json. Lägg till följande kod i parameterfilen:

Bicep/JSON

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "privateEndpointName": {
            "value": ""
        },
        "resourceId": {
            "value": ""
        },
        "groupId": {
            "value": ""
        },
        "subnetId": {
            "value": ""
        }
    }
}

Skapa ett PowerShell-skript med hjälp av följande kod. Innan du kör skriptet ersätter du prenumerations-ID, resursgruppsnamn och andra variabelvärden med information om din miljö.

### This script creates a private endpoint for an existing Azure Cosmos DB account in an existing virtual network

## Step 1: Fill in these details. Replace the variable values with the details for your environment.
$SubscriptionId = "<your Azure subscription ID>"
# Resource group where the Azure Cosmos DB account and virtual network resources are located
$ResourceGroupName = "myResourceGroup"
# Name of the Azure Cosmos DB account
$CosmosDbAccountName = "mycosmosaccount"
# API type of the Azure Cosmos DB account. It can be one of the following: "Sql", "SqlDedicated", "MongoDB", "Cassandra", "Gremlin", "Table"
$CosmosDbSubResourceType = "Sql"
# Name of the existing virtual network
$VNetName = "myVnet"
# Name of the target subnet in the virtual network
$SubnetName = "mySubnet"
# Name of the private endpoint to create
$PrivateEndpointName = "myPrivateEndpoint"

$cosmosDbResourceId = "/subscriptions/$($SubscriptionId)/resourceGroups/$($ResourceGroupName)/providers/Microsoft.DocumentDB/databaseAccounts/$($CosmosDbAccountName)"
$VNetResourceId = "/subscriptions/$($SubscriptionId)/resourceGroups/$($ResourceGroupName)/providers/Microsoft.Network/virtualNetworks/$($VNetName)"
$SubnetResourceId = "$($VNetResourceId)/subnets/$($SubnetName)"
$PrivateEndpointTemplateFilePath = "PrivateEndpoint_template.json"
$PrivateEndpointParametersFilePath = "PrivateEndpoint_parameters.json"

## Step 2: Sign in to your Azure account and select the target subscription.
Login-AzAccount
Select-AzSubscription -SubscriptionId $subscriptionId

## Step 3: Make sure private endpoint network policies are disabled in the subnet.
$VirtualNetwork= Get-AzVirtualNetwork -Name "$VNetName" -ResourceGroupName "$ResourceGroupName"
($virtualNetwork | Select -ExpandProperty subnets | Where-Object  {$_.Name -eq "$SubnetName"} ).PrivateEndpointNetworkPolicies = "Disabled"
$virtualNetwork | Set-AzVirtualNetwork

## Step 4: Create the private endpoint.
Write-Output "Deploying private endpoint on $($resourceGroupName)"
$deploymentOutput = New-AzResourceGroupDeployment -Name "PrivateCosmosDbEndpointDeployment" `
    -ResourceGroupName $resourceGroupName `
    -TemplateFile $PrivateEndpointTemplateFilePath `
    -TemplateParameterFile $PrivateEndpointParametersFilePath `
    -SubnetId $SubnetResourceId `
    -ResourceId $CosmosDbResourceId `
    -GroupId $CosmosDbSubResourceType `
    -PrivateEndpointName $PrivateEndpointName

$deploymentOutput

I PowerShell-skriptet kan variabeln GroupId bara innehålla ett värde. Det värdet är API-typen för kontot. Tillåtna värden är: Sql, SqlDedicated, MongoDB, Cassandra, Gremlinoch Table. Vissa Azure Cosmos DB-kontotyper är tillgängliga via flera API:er. Till exempel:

• API:et för NoSQL-konton har ett extra alternativ för konton som har konfigurerats för att använda den dedikerade gatewayen.
• API:et för Gremlin-konton kan nås från både Gremlin- och API:et för NoSQL-konton.
• API:et för tabellkonton kan nås från både Tabell och API för NoSQL-konton.

För dessa konton måste du skapa en privat slutpunkt för varje API-typ. Om du skapar en privat slutpunkt för SqlDedicatedbehöver du bara lägga till en andra slutpunkt för Sql om du också vill ansluta till ditt konto med hjälp av standardgatewayen. Motsvarande API-typ anges i matrisen GroupId .

När mallen har distribuerats kan du se utdata som liknar vad följande bild visar. Värdet provisioningState är Succeeded om de privata slutpunkterna har konfigurerats korrekt.

När mallen har distribuerats reserveras de privata IP-adresserna i undernätet. Brandväggsregeln för Azure Cosmos DB-kontot är konfigurerad för att endast acceptera anslutningar från den privata slutpunkten.

Integrera den privata slutpunkten med en privat DNS-zon

Använd följande kod för att skapa en Resource Manager-mall med namnet PrivateZone_template.json. Den här mallen skapar en privat DNS-zon för ett befintligt Azure Cosmos DB-API för NoSQL-konto i ett befintligt virtuellt nätverk.

{
    "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "privateZoneName": {
            "type": "string"
        },
        "VNetId": {
            "type": "string"
        }        
    },
    "resources": [
        {
            "name": "[parameters('privateZoneName')]",
            "type": "Microsoft.Network/privateDnsZones",
            "apiVersion": "2018-09-01",
            "location": "global",
            "properties": {                
            }
        },
        {
            "type": "Microsoft.Network/privateDnsZones/virtualNetworkLinks",
            "apiVersion": "2018-09-01",
            "name": "[concat(parameters('privateZoneName'), '/myvnetlink')]",
            "location": "global",
            "dependsOn": [
                "[resourceId('Microsoft.Network/privateDnsZones', parameters('privateZoneName'))]"
            ],
            "properties": {
                "registrationEnabled": false,
                "virtualNetwork": {
                    "id": "[parameters('VNetId')]"
                }
            }
        }        
    ]
}

Skapa följande två parameterfil för mallen. Skapa PrivateZone_parameters.json med följande kod:

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "privateZoneName": {
            "value": ""
        },
        "VNetId": {
            "value": ""
        }
    }
}

Använd följande kod för att skapa en Resource Manager-mall med namnet PrivateZoneGroup_template.json. Den här mallen skapar en privat DNS-zongrupp för ett befintligt Azure Cosmos DB API för NoSQL-konto i ett befintligt virtuellt nätverk.

{
    "$schema": "http://schema.management.azure.com/schemas/2015-01-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "privateZoneName": {
            "type": "string"
        },
        "PrivateEndpointDnsGroupName": {
            "value": "string"
        },
        "privateEndpointName":{
            "value": "string"
        }        
    },
    "resources": [
        {
            "type": "Microsoft.Network/privateEndpoints/privateDnsZoneGroups",
            "apiVersion": "2020-06-01",
            "name": "[parameters('PrivateEndpointDnsGroupName')]",
            "location": "global",
            "dependsOn": [
                "[resourceId('Microsoft.Network/privateDnsZones', parameters('privateZoneName'))]",
                "[variables('privateEndpointName')]"
            ],
          "properties": {
            "privateDnsZoneConfigs": [
              {
                "name": "config1",
                "properties": {
                  "privateDnsZoneId": "[resourceId('Microsoft.Network/privateDnsZones', parameters('privateZoneName'))]"
                }
              }
            ]
          }
        }
    ]
}

Skapa följande två parameterfil för mallen. Skapa PrivateZoneGroup_parameters.json med följande kod:

{
    "$schema": "https://schema.management.azure.com/schemas/2015-01-01/deploymentParameters.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "privateZoneName": {
            "value": ""
        },
        "PrivateEndpointDnsGroupName": {
            "value": ""
        },
        "privateEndpointName":{
            "value": ""
        }
    }
}

Skapa ett PowerShell-skript med hjälp av följande kod. Innan du kör skriptet ersätter du prenumerations-ID, resursgruppsnamn och andra variabelvärden med information om din miljö.

### This script:
### - creates a private zone
### - creates a private endpoint for an existing Azure Cosmos DB account in an existing VNet
### - maps the private endpoint to the private zone

## Step 1: Fill in these details. Replace the variable values with the details for your environment.
$SubscriptionId = "<your Azure subscription ID>"
# Resource group where the Azure Cosmos DB account and virtual network resources are located
$ResourceGroupName = "myResourceGroup"
# Name of the Azure Cosmos DB account
$CosmosDbAccountName = "mycosmosaccount"
# API type of the Azure Cosmos DB account. It can be one of the following: "Sql", "SqlDedicated", "MongoDB", "Cassandra", "Gremlin", "Table"
$CosmosDbSubResourceType = "Sql"
# Name of the existing virtual network
$VNetName = "myVnet"
# Name of the target subnet in the virtual network
$SubnetName = "mySubnet"
# Name of the private zone to create
$PrivateZoneName = "myPrivateZone.documents.azure.com"
# Name of the private endpoint to create
$PrivateEndpointName = "myPrivateEndpoint"

# Name of the DNS zone group to create
$PrivateEndpointDnsGroupName = "myPrivateDNSZoneGroup"

$cosmosDbResourceId = "/subscriptions/$($SubscriptionId)/resourceGroups/$($ResourceGroupName)/providers/Microsoft.DocumentDB/databaseAccounts/$($CosmosDbAccountName)"
$VNetResourceId = "/subscriptions/$($SubscriptionId)/resourceGroups/$($ResourceGroupName)/providers/Microsoft.Network/virtualNetworks/$($VNetName)"
$SubnetResourceId = "$($VNetResourceId)/subnets/$($SubnetName)"
$PrivateZoneTemplateFilePath = "PrivateZone_template.json"
$PrivateZoneParametersFilePath = "PrivateZone_parameters.json"
$PrivateEndpointTemplateFilePath = "PrivateEndpoint_template.json"
$PrivateEndpointParametersFilePath = "PrivateEndpoint_parameters.json"
$PrivateZoneGroupTemplateFilePath = "PrivateZoneGroup_template.json"
$PrivateZoneGroupParametersFilePath = "PrivateZoneGroup_parameters.json"

## Step 2: Login your Azure account and select the target subscription
Login-AzAccount 
Select-AzSubscription -SubscriptionId $subscriptionId

## Step 3: Make sure private endpoint network policies are disabled in the subnet
$VirtualNetwork= Get-AzVirtualNetwork -Name "$VNetName" -ResourceGroupName "$ResourceGroupName"
($virtualNetwork | Select -ExpandProperty subnets | Where-Object  {$_.Name -eq "$SubnetName"} ).PrivateEndpointNetworkPolicies = "Disabled"
$virtualNetwork | Set-AzVirtualNetwork

## Step 4: Create the private zone
New-AzResourceGroupDeployment -Name "PrivateZoneDeployment" `
    -ResourceGroupName $ResourceGroupName `
    -TemplateFile $PrivateZoneTemplateFilePath `
    -TemplateParameterFile $PrivateZoneParametersFilePath `
    -PrivateZoneName $PrivateZoneName `
    -VNetId $VNetResourceId

## Step 5: Create the private endpoint
Write-Output "Deploying private endpoint on $($resourceGroupName)"
$deploymentOutput = New-AzResourceGroupDeployment -Name "PrivateCosmosDbEndpointDeployment" `
    -ResourceGroupName $resourceGroupName `
    -TemplateFile $PrivateEndpointTemplateFilePath `
    -TemplateParameterFile $PrivateEndpointParametersFilePath `
    -SubnetId $SubnetResourceId `
    -ResourceId $CosmosDbResourceId `
    -GroupId $CosmosDbSubResourceType `
    -PrivateEndpointName $PrivateEndpointName
$deploymentOutput

## Step 6: Create the private zone
New-AzResourceGroupDeployment -Name "PrivateZoneGroupDeployment" `
    -ResourceGroupName $ResourceGroupName `
    -TemplateFile $PrivateZoneGroupTemplateFilePath `
    -TemplateParameterFile $PrivateZoneGroupParametersFilePath `
    -PrivateZoneName $PrivateZoneName `
    -PrivateEndpointName $PrivateEndpointName`
    -PrivateEndpointDnsGroupName $PrivateEndpointDnsGroupName

Konfigurera anpassad DNS

Du bör använda en privat DNS-zon i undernätet där du har skapat den privata slutpunkten. Konfigurera slutpunkterna så att varje privat IP-adress mappas till en DNS-post. Se egenskapen fqdns i svaret som visades tidigare.

När du skapar den privata slutpunkten kan du integrera den med en privat DNS-zon i Azure. Om du väljer att i stället använda en anpassad DNS-zon måste du konfigurera den för att lägga till DNS-poster för alla privata IP-adresser som är reserverade för den privata slutpunkten.

Viktigt!

Det är DNS-matchningen för dina begäranden som avgör om dessa begäranden går över dina privata slutpunkter eller tar den offentliga standardvägen. Kontrollera att din lokala DNS korrekt refererar till den privata IP-adress som mappats av din privata slutpunkt.

Använda Private Link med brandväggsregler

Följande situationer och resultat är möjliga när du använder Private Link i kombination med brandväggsregler:

• Om du inte konfigurerar några brandväggsregler kan all trafik som standard komma åt ett Azure Cosmos DB-konto.

• Om du konfigurerar offentlig trafik eller en tjänstslutpunkt och skapar privata slutpunkter, auktoriseras olika typer av inkommande trafik av motsvarande typ av brandväggsregel. Om en privat slutpunkt har konfigurerats i ett undernät där tjänstslutpunkten också har konfigurerats:

  • trafik till databaskontot som mappas av den privata slutpunkten dirigeras via en privat slutpunkt.
  • trafik till andra databaskonton från undernätet dirigeras via tjänstslutpunkten.

• Om du inte konfigurerar någon offentlig trafik eller tjänstslutpunkt och du skapar privata slutpunkter är Azure Cosmos DB-kontot endast tillgängligt via de privata slutpunkterna. Om du inte konfigurerar offentlig trafik eller en tjänstslutpunkt, när alla godkända privata slutpunkter har avvisats eller tagits bort, är kontot öppet för hela nätverket om det inte PublicNetworkAccess är inställt på Inaktiverad.

Blockera åtkomst till offentligt nätverk när kontot skapas

Enligt beskrivningen i föregående avsnitt, och om inte specifika brandväggsregler har angetts, gör tillägg av en privat slutpunkt ditt Azure Cosmos DB-konto endast tillgängligt via privata slutpunkter. Det innebär att Azure Cosmos DB-kontot kan nås från offentlig trafik när det har skapats och innan en privat slutpunkt läggs till. Om du vill se till att åtkomsten till det offentliga nätverket är inaktiverad redan innan privata slutpunkter skapas kan du ställa in publicNetworkAccess flaggan på Inaktiverad när kontot skapas. Den här flaggan har företräde framför alla IP- eller virtuella nätverksregler. All offentlig och virtuell nätverkstrafik blockeras när flaggan är inställd på Inaktiverad, även om käll-IP-adressen eller det virtuella nätverket tillåts i brandväggskonfigurationen.

Ett exempel som visar hur du använder den här flaggan finns i den här Azure Resource Manager-mallen.

Lägga till privata slutpunkter till ett befintligt Azure Cosmos DB-konto utan driftstopp

Att lägga till en privat slutpunkt i ett befintligt konto resulterar som standard i en kort stilleståndstid på cirka fem minuter. Följ dessa instruktioner för att undvika den här stilleståndstiden:

1. Lägg till IP- eller virtuella nätverksregler i brandväggskonfigurationen för att uttryckligen tillåta klientanslutningar.
2. Vänta i 10 minuter för att säkerställa att konfigurationsuppdateringen tillämpas.
3. Konfigurera din nya privata slutpunkt.
4. Ta bort brandväggsreglerna som anges i steg 1.

Kommentar

Om du har program som körs med hjälp av Azure Cosmos DB SDK:er kan det finnas tillfälliga tidsgränser under konfigurationsuppdateringen. Kontrollera att ditt program är utformat för att vara motståndskraftigt mot tillfälliga anslutningsfel och ha logik för återförsök på plats om det behövs.

Portintervall när du använder direktläge

När du använder Private Link med ett Azure Cosmos DB-konto via en direktlägesanslutning måste du se till att hela TCP-portarna (0–65535) är öppna.

Uppdatera en privat slutpunkt när du lägger till eller tar bort en region

Det finns tre regioner för Azure Cosmos DB-kontodistributioner: USA, västra, USA, centrala och Europa, västra. När du skapar en privat slutpunkt för ditt konto reserveras fyra privata IP-adresser i undernätet. Det finns en IP-adress för var och en av de tre regionerna och det finns en IP-adress för den globala regionoberoende slutpunkten. Senare kan du lägga till en ny region i Azure Cosmos DB-kontot. Den privata DNS-zonen uppdateras på följande sätt:

• Om en privat DNS-zongrupp används:

  • Om du använder en privat DNS-zongrupp uppdateras den privata DNS-zonen automatiskt när den privata slutpunkten uppdateras. I föregående exempel uppdateras den privata DNS-zonen automatiskt när du har lagt till en ny region.

• Om den privata DNS-zongruppen inte används:

  • Om du inte använder en privat DNS-zongrupp måste du lägga till eller ta bort regioner till ett Azure Cosmos DB-konto för att lägga till eller ta bort DNS-poster för det kontot. När regioner har lagts till eller tagits bort kan du uppdatera undernätets privata DNS-zon för att återspegla de tillagda eller borttagna DNS-posterna och deras motsvarande privata IP-adresser.

  • I föregående exempel, när du har lagt till den nya regionen, måste du lägga till en motsvarande DNS-post i antingen din privata DNS-zon eller din anpassade DNS. Du kan använda samma steg när du tar bort en region. När du har tagit bort regionen måste du ta bort motsvarande DNS-post från antingen din privata DNS-zon eller din anpassade DNS.

Aktuella begränsningar

Följande begränsningar gäller när du använder Private Link med ett Azure Cosmos DB-konto:

• Du kan inte ha fler än 200 privata slutpunkter på ett enda Azure Cosmos DB-konto.

• När du använder Private Link med ett Azure Cosmos DB-konto via en direktlägesanslutning kan du bara använda TCP-protokollet. HTTP-protokollet stöds inte för närvarande.

• När du använder Azure Cosmos DB:s API för ett MongoDB-konto stöds en privat slutpunkt för konton på serverversion 3.6 eller senare (dvs. konton som använder slutpunkten i formatet *.mongo.cosmos.azure.com). Private Link stöds inte för konton på serverversion 3.2 (dvs. konton som använder slutpunkten i formatet *.documents.azure.com). Om du vill använda Private Link bör du migrera gamla konton till den nya versionen.

• När du använder Azure Cosmos DB:s API för ett MongoDB-konto som har en Private Link, måste verktyg och bibliotek ha stöd för tjänstnamnsidentifiering (SNI) eller skicka parametern appName från anslutningssträng för att ansluta korrekt. Vissa äldre verktyg och bibliotek kanske inte är kompatibla med private link-funktionen.

• En nätverksadministratör bör beviljas minst behörighet i Microsoft.DocumentDB/databaseAccounts/PrivateEndpointConnectionsApproval/action Azure Cosmos DB-kontoomfånget för att skapa automatiskt godkända privata slutpunkter.

• För närvarande kan du inte godkänna en avvisad privat slutpunktsanslutning. Skapa i stället den privata slutpunkten igen för att återuppta den privata anslutningen. Tjänsten privat länk i Azure Cosmos DB godkänner automatiskt den återskapade privata slutpunkten.

Begränsningar för privat DNS-zonintegrering

Om du inte använder en privat DNS-zongrupp tas DNS-poster i den privata DNS-zonen inte bort automatiskt när du tar bort en privat slutpunkt eller tar bort en region från Azure Cosmos DB-kontot. Du måste ta bort DNS-posterna manuellt innan:

• Lägga till en ny privat slutpunkt som är länkad till den här privata DNS-zonen.
• Lägga till en ny region i ett databaskonto som har privata slutpunkter länkade till den här privata DNS-zonen.

Om du inte rensar DNS-posterna kan oväntade problem med dataplanet inträffa. Dessa problem omfattar dataavbrott i regioner som lagts till efter borttagning av privat slutpunkt eller borttagning av region.

Relaterat innehåll

• Brandväggsstöd
• Konfigurera åtkomst från virtuella nätverk
• Azure Private Link