Vad är en privat slutpunkt?
En privat slutpunkt är ett nätverksgränssnitt som använder en privat IP-adress från ditt virtuella nätverk. Med det här nätverksgränssnittet får du privat och säker anslutning till en tjänst som drivs av Azure Private Link. Genom att aktivera en privat slutpunkt tar du in tjänsten i ditt virtuella nätverk.
Tjänsten kan vara en Azure-tjänst som:
- Azure Storage
- Azure Cosmos DB
- Azure SQL Database
- Din egen tjänst med hjälp av Private Link-tjänsten.
Egenskaper för privat slutpunkt
En privat slutpunkt anger följande egenskaper:
| Egenskap | Beskrivning |
|---|---|
| Name | Ett unikt namn i resursgruppen. |
| Undernät | Det undernät som ska distribueras, där den privata IP-adressen tilldelas. Information om undernätskrav finns i avsnittet Begränsningar senare i den här artikeln. |
| Private-link-resurs | Den private-link-resurs som ska anslutas med hjälp av ett resurs-ID eller alias från listan över tillgängliga typer. En unik nätverksidentifierare genereras för all trafik som skickas till den här resursen. |
| Underresurs för mål | Den underresurs som ska anslutas. Varje resurstyp för privat länk har olika alternativ att välja baserat på inställningar. |
| Metod för anslutningsgodkännande | Automatisk eller manuell. Beroende på behörigheterna för rollbaserad åtkomstkontroll (RBAC) i Azure kan din privata slutpunkt godkännas automatiskt. Om du ansluter till en privat länkresurs utan Azure RBAC-behörigheter använder du den manuella metoden för att tillåta resursens ägare att godkänna anslutningen. |
| Begär meddelande | Du kan ange ett meddelande om att begärda anslutningar ska godkännas manuellt. Det här meddelandet kan användas för att identifiera en specifik begäran. |
| Anslutningsstatus | En skrivskyddad egenskap som anger om den privata slutpunkten är aktiv. Endast privata slutpunkter i godkänt tillstånd kan användas för att skicka trafik. Ytterligare tillgängliga tillstånd: |
När du skapar privata slutpunkter bör du tänka på följande:
Privata slutpunkter möjliggör anslutning mellan kunder från samma:
- Virtuellt nätverk
- Regionalt peer-kopplade virtuella nätverk
- Globalt peerkopplade virtuella nätverk
- Lokala miljöer som använder VPN eller Express Route
- Tjänster som drivs av Private Link
Nätverksanslutningar kan endast initieras av klienter som ansluter till den privata slutpunkten. Tjänstleverantörer har ingen routningskonfiguration för att skapa anslutningar till tjänstekunder. Anslutningar kan endast upprättas i en enda riktning.
Ett skrivskyddat nätverksgränssnitt skapas automatiskt för livscykeln för den privata slutpunkten. Gränssnittet tilldelas en dynamisk privat IP-adress från undernätet som mappar till private-link-resursen. Värdet för den privata IP-adressen förblir oförändrat under hela livscykeln för den privata slutpunkten.
Den privata slutpunkten måste distribueras i samma region och prenumeration som det virtuella nätverket.
Resursen private-link kan distribueras i en annan region än den för det virtuella nätverket och den privata slutpunkten.
Flera privata slutpunkter kan skapas med samma private-link-resurs. För ett enskilt nätverk som använder en gemensam DNS-serverkonfiguration rekommenderar vi att du använder en enda privat slutpunkt för en angiven private-link-resurs. Använd den här metoden för att undvika dubbletter av poster eller konflikter i DNS-matchning.
Flera privata slutpunkter kan skapas i samma eller olika undernät i samma virtuella nätverk. Det finns gränser för antalet privata slutpunkter som du kan skapa i en prenumeration. Mer information finns i Azure-gränser.
Prenumerationen som innehåller den privata länkresursen måste vara registrerad hos Microsofts nätverksresursprovider. Prenumerationen som innehåller den privata slutpunkten måste också vara registrerad hos Microsofts nätverksresursprovider. Mer information finns i Azure-resursprovidrar.
Private-link-resurs
En private-link-resurs är målmålet för en angiven privat slutpunkt. I följande tabell visas de tillgängliga resurser som stöder en privat slutpunkt:
| Private-link-resursnamn | Resurstyp | Underresurser |
|---|---|---|
| Azure App Configuration | Microsoft.Appconfiguration/configurationStores | configurationStores |
| Azure Automation | Microsoft.Automation/automationAccounts | Webhook, DSCAndHybridWorker |
| Azure Cosmos DB | Microsoft.AzureCosmosDB/databaseAccounts | SQL, MongoDB, Cassandra, Gremlin, Table |
| Azure Batch | Microsoft.Batch/batchAccounts | batchAccount, nodeManagement |
| Azure Cache for Redis | Microsoft.Cache/Redis | redisCache |
| Azure Cache for Redis Enterprise | Microsoft.Cache/redisEnterprise | redisEnterprise |
| Azure Cognitive Services | Microsoft.CognitiveServices/accounts | konto |
| Azure Managed Disks | Microsoft.Compute/diskAccesses | hanterad disk |
| Azure Container Registry | Microsoft.ContainerRegistry/registries | registry |
| Azure Kubernetes Service – Kubernetes API | Microsoft.ContainerService/managedClusters | management |
| Azure Data Factory | Microsoft.DataFactory/fabriker | dataFactory |
| Azure-datautforskaren | Microsoft.Kusto/clusters | cluster |
| Azure-databas för MariaDB | Microsoft.DBforMariaDB/servers | mariadbServer |
| Azure Database for MySQL | Microsoft.DBforMySQL/servers | mysqlServer |
| Azure Database for PostgreSQL – enskild server | Microsoft.DBforPostgreSQL/servers | postgresqlServer |
| Azure Device Provisioning Service | Microsoft.Devices/provisioningServices | iotDps |
| Azure IoT Hub | Microsoft.Devices/IotHubs | iotHub |
| Azure IoT Central | Microsoft.IoTCentral/IoTApps | IoTApps |
| Azure Digital Twins | Microsoft.DigitalTwins/digitalTwinsInstances | API |
| Azure Event Grid | Microsoft.EventGrid/domains | domän |
| Azure Event Grid | Microsoft.EventGrid/topics | ämne |
| Azure Event Hub | Microsoft.EventHub/namespaces | namnområde |
| Azure HDInsight | Microsoft.HDInsight/clusters | cluster |
| Azure API för FHIR (resurser för snabb vårdsamverkan) | Microsoft.HealthcareApis/services | fhir |
| Azure Key Vault HSM (maskinvarusäkerhetsmodul) | Microsoft.Keyvault/managedHSMs | HSM |
| Azure Key Vault | Microsoft.KeyVault/vaults | valv |
| Azure Machine Learning | Microsoft.MachineLearningServices/workspaces | amlworkspace |
| Azure Migrate | Microsoft.Migrate/assessmentProjects | projekt |
| Application Gateway | Microsoft.Network/applicationgateways | programgateway |
| Private Link (din egen tjänst) | Microsoft.Network/privateLinkServices | tomt |
| Power BI | Microsoft.PowerBI/privateLinkServicesForPowerBI | Power BI |
| Microsoft Purview | Microsoft.Purview/accounts | konto |
| Microsoft Purview | Microsoft.Purview/accounts | portal |
| Azure Backup | Microsoft.RecoveryServices/valv | valv |
| Azure Relay | Microsoft.Relay/namespaces | namnområde |
| Azure Cognitive Search | Microsoft.Search/searchServices | searchService |
| Azure Service Bus | Microsoft.ServiceBus/namespaces | namnområde |
| Azure SignalR Service | Microsoft.SignalRService/SignalR | signalr |
| Azure SignalR Service | Microsoft.SignalRService/webPubSub | webpubsub |
| Azure SQL Database | Microsoft.Sql/servers | SQL Server (sqlServer) |
| Azure Storage | Microsoft.Storage/storageAccounts | Blob (blob, blob_secondary) Tabell (tabell, table_secondary) Kö (kö, queue_secondary) Fil (fil, file_secondary) Webb (webb, web_secondary) Dfs (dfs, dfs_secondary) |
| Azure File Sync | Microsoft.StorageSync/storageSyncServices | File Sync service |
| Azure Synapse | Microsoft.Synapse/privateLinkHubs | webb |
| Azure Synapse Analytics | Microsoft.Synapse/workspaces | Sql, SqlOnDemand, Dev |
| Azure App Service | Microsoft.Web/hostingEnvironments | värdmiljö |
| Azure App Service | Microsoft.Web/sites | webbplatser |
| Azure Static Web Apps | Microsoft.Web/staticSites | staticSites |
| Azure Media Services | Microsoft.Media/mediaservices | keydelivery, liveevent, streamingendpoint |
| Azure Databricks | Microsoft.Databricks/workspaces | databricks_ui_api, browser_authentication |
Anteckning
Du kan bara skapa privata slutpunkter på ett Generell användning v2-lagringskonto (GPv2).
Nätverkssäkerhet för privata slutpunkter
När du använder privata slutpunkter skyddas trafiken till en privat länkresurs. Plattformen validerar nätverksanslutningar, så att endast de som når den angivna private-link-resursen tillåts. För att få åtkomst till ytterligare underresurser i samma Azure-tjänst krävs ytterligare privata slutpunkter med motsvarande mål. När det gäller Azure Storage behöver du till exempel separata privata slutpunkter för att komma åt filen och blobunderresurserna.
Privata slutpunkter tillhandahåller en privat tillgänglig IP-adress för Azure-tjänsten, men begränsar inte nödvändigtvis åtkomsten till det offentliga nätverket. Azure App Service och Azure Functions bli otillgängliga offentligt när de är associerade med en privat slutpunkt. Alla andra Azure-tjänster kräver dock ytterligare åtkomstkontroller. Dessa kontroller ger dina resurser ett extra nätverkssäkerhetslager, vilket ger skydd som förhindrar åtkomst till Azure-tjänsten som är associerad med private-link-resursen.
Privata slutpunkter stöder nätverksprinciper. Nätverksprinciper möjliggör stöd för nätverkssäkerhetsgrupper (NSG), användardefinierade vägar (UDR) och programsäkerhetsgrupper (ASG). Mer information om hur du aktiverar nätverksprinciper för en privat slutpunkt finns i Hantera nätverksprinciper för privata slutpunkter. Information om hur du använder en ASG med en privat slutpunkt finns i Konfigurera en programsäkerhetsgrupp (ASG) med en privat slutpunkt.
Åtkomst till en privat länkresurs med hjälp av arbetsflödet för godkännande
Du kan ansluta till en privat länkresurs med hjälp av följande metoder för anslutningsgodkännande:
Godkänn automatiskt: Använd den här metoden när du äger eller har behörighet för den specifika privata länkresursen. De behörigheter som krävs baseras på resurstypen private-link i följande format:
Microsoft.<Provider>/<resource_type>/privateEndpointConnectionsApproval/actionBegär manuellt: Använd den här metoden när du inte har de behörigheter som krävs och vill begära åtkomst. Ett arbetsflöde för godkännande initieras. Privata slutpunkter och senare privata slutpunktsanslutningar skapas i ett väntande tillstånd. Resursägaren för privat länk ansvarar för att godkänna anslutningen. När den har godkänts är den privata slutpunkten aktiverad för att skicka trafik normalt, som du ser i följande arbetsflödesdiagram för godkännande:
Över en privat slutpunktsanslutning kan en resursägare med privat länk:
- Granska all anslutningsinformation för privat slutpunkt.
- Godkänn en privat slutpunktsanslutning. Motsvarande privata slutpunkt aktiveras för att skicka trafik till resursen private-link.
- Avvisa en privat slutpunktsanslutning. Motsvarande privata slutpunkt uppdateras för att återspegla statusen.
- Ta bort en privat slutpunktsanslutning i alla tillstånd. Motsvarande privata slutpunkt uppdateras med ett frånkopplat tillstånd för att återspegla åtgärden. Den privata slutpunktsägaren kan bara ta bort resursen i det här läget.
Anteckning
Endast privata slutpunkter i ett godkänt tillstånd kan skicka trafik till en angiven privat länkresurs.
Ansluta med hjälp av ett alias
Ett alias är en unik moniker som genereras när en tjänstägare skapar en privat länktjänst bakom en standardlastbalanserare. Tjänstägare kan dela detta alias offline med användare av din tjänst.
Konsumenterna kan begära en anslutning till en privat länktjänst med hjälp av antingen resurs-URI:n eller aliaset. Om du vill ansluta med hjälp av aliaset skapar du en privat slutpunkt med hjälp av metoden för manuell anslutningsgodkännande. Om du vill använda metoden för manuell anslutningsgodkännande anger du parametern för manuell begäran till True under flödet för att skapa privata slutpunkter. Mer information finns i New-AzPrivateEndpoint och az network private-endpoint create.
Anteckning
Den här manuella begäran kan godkännas automatiskt om konsumentens prenumeration är tillåten på providersidan. Mer information finns i Kontrollera tjänståtkomst.
DNS-konfiguration
De DNS-inställningar som du använder för att ansluta till en privat länkresurs är viktiga. Befintliga Azure-tjänster kanske redan har en DNS-konfiguration som du kan använda när du ansluter via en offentlig slutpunkt. För att ansluta till samma tjänst via privat slutpunkt krävs separata DNS-inställningar, som ofta konfigureras via privata DNS-zoner. Kontrollera att DNS-inställningarna är korrekta när du använder det fullständigt kvalificerade domännamnet (FQDN) för anslutningen. Inställningarna måste matcha den privata IP-adressen för den privata slutpunkten.
Nätverksgränssnittet som är associerat med den privata slutpunkten innehåller den information som krävs för att konfigurera DIN DNS. Informationen innehåller FQDN och privat IP-adress för en privat länkresurs.
Fullständig detaljerad information om rekommendationer för att konfigurera DNS för privata slutpunkter finns i DNS-konfiguration för privat slutpunkt.
Begränsningar
Följande information visar kända begränsningar för användningen av privata slutpunkter:
Nätverkssäkerhetsgrupp
| Begränsning | Beskrivning |
|---|---|
| Effektiva vägar och säkerhetsregler är inte tillgängliga för nätverksgränssnittet för privata slutpunkter. | Effektiva vägar och säkerhetsregler visas inte för det privata slutpunktskortet i Azure Portal. |
| NSG-flödesloggar stöds inte. | NSG-flödesloggar är inte tillgängliga för inkommande trafik som är avsedd för en privat slutpunkt. |
| Högst 50 medlemmar i en programsäkerhetsgrupp. | Femtio är antalet IP-konfigurationer som kan kopplas till varje respektive ASG som är kopplat till nätverkssäkerhetsgruppen i det privata slutpunktsundernätet. Anslutningsfel kan inträffa med fler än 50 medlemmar. |
| Målportintervall stöds upp till en faktor på 250 000. | Målportintervall stöds som en multiplikation SourceAddressPrefixes, DestinationAddressPrefixes och DestinationPortRanges. Exempel på inkommande regel: 1 källa * 1 mål * 4K portRanges = 4K Giltiga 10 källor * 10 mål * 10 portRanges = 1K Giltiga 50 källor * 50 mål * 50 portRanges = 12 5K Giltiga 50 källor * 50 mål * 100 portRanges = 250K Giltiga 100 källor * 100 mål * 100 portRanges = 1M Ogiltig, NSG har för många källor/mål/portar. |
| Källportfiltrering tolkas som * | Källportfiltrering används inte aktivt som ett giltigt scenario för trafikfiltrering för trafik som är avsedd för en privat slutpunkt. |
| Funktionen är inte tillgänglig i utvalda regioner. | För närvarande inte tillgänglig i följande regioner: Västra Indien Australien, centrala 2 Sydafrika, västra Brasilien, sydöstra |
Ytterligare överväganden för NSG
Utgående trafik som nekas från en privat slutpunkt är inte ett giltigt scenario eftersom tjänstleverantören inte kan komma från trafik.
Följande tjänster kan kräva att alla målportar är öppna när du använder en privat slutpunkt och lägger till NSG-säkerhetsfilter:
- Azure Cosmos DB – Mer information finns i Tjänstportintervall.
UDR
| Begränsning | Beskrivning |
|---|---|
| SNAT rekommenderas alltid. | På grund av variabeln hos det privata slutpunktsdataplanet rekommenderar vi att du använder SNAT-trafik till en privat slutpunkt för att säkerställa att returtrafiken respekteras. |
| Funktionen är inte tillgänglig i utvalda regioner. | För närvarande inte tillgänglig i följande regioner: Indien, västra Storbritannien, norra Storbritannien, södra 2 Australien, centrala 2 Sydafrika, västra Brasilien, sydöstra |
Programsäkerhetsgrupp
| Begränsning | Beskrivning |
|---|---|
| Funktionen är inte tillgänglig i utvalda regioner. | För närvarande inte tillgänglig i följande regioner: Indien, västra Storbritannien, norra Storbritannien, södra 2 Australien, centrala 2 Sydafrika, västra Brasilien, sydöstra |
Nästa steg
- Mer information om privata slutpunkter och Private Link finns i Vad är Azure Private Link?.
- Information om hur du kommer igång med att skapa en privat slutpunkt för en webbapp finns i Snabbstart: Skapa en privat slutpunkt med hjälp av Azure Portal.