Sunucuları Azure Arc'a güvenli bir şekilde bağlamak için Azure Özel Bağlantı kullanma

Azure Özel Bağlantı ile özel uç noktaları kullanarak Azure hizmet olarak platform (PaaS) hizmetlerini sanal ağınıza güvenli bir şekilde bağlayabilirsiniz. Birçok hizmet için kaynak başına bir uç nokta ayarlarsınız. Ardından şirket içi veya çok bulutlu sunucularınızı Azure Arc'a bağlayabilir ve tüm trafiği genel ağları kullanmak yerine Azure ExpressRoute veya siteden siteye sanal özel ağ (VPN) bağlantısı üzerinden gönderebilirsiniz.

Azure Arc özellikli sunucularla, birden çok sunucunun veya makinenin tek bir özel uç nokta kullanarak Azure Arc kaynaklarıyla iletişim kurmasına izin vermek için özel bağlantı kapsamı modeli kullanabilirsiniz.

Bu makalede Azure Arc özel bağlantı kapsamının ne zaman kullanılacağı ve nasıl ayarlanacağı ele alınıyor.

Avantajlar

Özel Bağlantı ile şunları yapabilirsiniz:

• Genel ağ erişimi açmadan Azure Arc'a özel olarak bağlanın.
• Azure Arc özellikli makine veya sunucudaki verilere yalnızca yetkili özel ağlar aracılığıyla erişildiğinden emin olun. Bu gereksinim, dağıtım sonrası yönetim ve izleme desteği sağlayan makinede veya sunucuda yüklü olan sanal makine (VM) uzantılarından gelen verileri de içerir.
• Özel uç noktanız üzerinden bağlanan belirli Azure Arc özellikli sunucuları ve Azure İzleyici gibi diğer Azure hizmet kaynaklarını tanımlayarak özel ağlarınızdan veri sızdırmayı önleyin.
• ExpressRoute ve Özel Bağlantı kullanarak özel şirket içi ağınızı Azure Arc'a güvenli bir şekilde bağlayın.
• Tüm trafiği Microsoft Azure omurga ağı içinde tutun.

Daha fazla bilgi için bkz. Azure Özel Bağlantı temel avantajları.

Nasıl çalışır?

Azure Arc özel bağlantı kapsamı, özel uç noktaları (ve bulundukları sanal ağları) bir Azure kaynağına bağlar. Bu durumda Azure Arc özellikli sunucular kullanılır. Azure İzleyici gibi Azure Arc özellikli sunucular için desteklenen VM uzantılarından herhangi birini etkinleştirdiğinizde, bu kaynaklar aşağıdakiler gibi diğer Azure kaynaklarına bağlanır:

• Azure Otomasyonu Değişiklik İzleme ve Envanteri, Azure İzleyici VM içgörüleri ve Azure İzleyici Aracısı ile Azure İzleyici günlük koleksiyonu için gereken Log Analytics çalışma alanı.
• Azure Key Vault.
• Özel Betik Uzantısı için gerekli olan Azure Blob Depolama.

Mimari diyagramlarını yüksek çözünürlükte indirmek için Jumpstart Gems'i ziyaret edin.

Azure Arc özellikli bir sunucudan başka bir Azure kaynağına bağlantı için her hizmet için Özel Bağlantı yapılandırmanız gerekir; bu isteğe bağlıdır, ancak bunu öneririz. Özel Bağlantı, hizmet başına ayrı yapılandırma gerektirir.

Daha önce listelenen Azure hizmetleri için Özel Bağlantı yapılandırma hakkında daha fazla bilgi için Azure Otomasyonu, Azure İzleyici, Key Vault veya Blob Depolama makalelerine bakın.

Önemli

Özel Bağlantı artık genel kullanıma sunuldu. Hem özel uç nokta hem de özel bağlantı hizmetleri (standart yük dengeleyicinin arkasındaki hizmet) genel olarak kullanılabilir. Farklı zamanlamaları izleyerek Özel Bağlantı'ya farklı Azure PaaS hizmetleri eklenmektedir. Özel Bağlantıda Azure PaaS'ın güncelleştirilmiş durumu için bkz. Özel Bağlantı kullanılabilirliği. Bilinen sınırlamalar için bkz . Özel uç nokta ve Özel bağlantı hizmeti.

• Sanal ağınızdaki özel uç nokta, bu uç noktaların genel IP'lerini kullanmak yerine ağınızın havuzundan özel IP'ler aracılığıyla Azure Arc özellikli sunucu uç noktalarına ulaşmasını sağlar. Bu şekilde, sanal ağınızı istenmeyen giden trafiğe açmadan Azure Arc özellikli sunucu kaynağınızı kullanmaya devam edebilirsiniz.
• Özel uç noktadan kaynaklarınıza giden trafik Azure omurgasını aşıyor ve genel ağlara yönlendirmiyor.
• Bileşenlerinizin her birini genel ağlardan veri alımına ve sorgulara izin verecek veya bunları reddedecek şekilde yapılandırabilirsiniz. Bu, belirli kaynaklara yönelik trafiği denetleyebilmeniz için kaynak düzeyinde bir koruma sağlar.

Prerequisites

• Azure aboneliği. Hesabınız yoksa ücretsiz bir hesap oluşturun.
• Şirket içi ağınızla Azure sanal ağınız arasında etkin bir ExpressRoute bağlantı hattı veya siteden siteye VPN bağlantısı.
• Azure Arc etkin sunucularınızla aynı bölgede bir Azure sanal ağı.
• Özel Bağlantı üzerinden bağlanmak için her sunucuda Azure Bağlı Makine aracısı sürüm 1.4 veya üzeri üzerinde olmalı.
• Özel bağlantı kapsamı ve özel uç nokta kaynakları oluşturmak için Azure aboneliğinde veya kaynak grubunda en az Contributor rolü.
• Azure PowerShell kullanıyorsanız aşağıdaki modüller gereklidir:
  • Az.ConnectedMachine, Az.Network ve Az.PrivateDns. Şunu çalıştırı: Install-Module -Name Az.ConnectedMachine, Az.Network, Az.PrivateDns -AllowClobber.
• Azure CLI kullanıyorsanız aşağıdaki uzantı gereklidir:
  • connectedmachine uzantısı. Şunu çalıştırı: az extension add --name connectedmachine.

Kısıtlamalar ve sınırlamalar

Azure Arc özellikli sunucular özel bağlantı kapsamı nesnesi, Özel Bağlantı kurulumunuzu planlarken göz önünde bulundurmanız gereken birkaç sınıra sahiptir:

• En fazla bir Azure Arc özel bağlantı kapsamı bir sanal ağ ile ilişkilendirilebilir.
• Azure Arc özellikli bir makine veya sunucu kaynağı yalnızca bir Azure Arc özellikli sunucu özel bağlantı kapsamına bağlanabilir.
• Tüm şirket içi makinelerin, tam etki alanı adı (FQDN) kayıt adı ve özel IP adresi gibi doğru özel uç nokta bilgilerini çözümleyerek aynı özel uç noktayı kullanması gerekir. Aynı Etki Alanı Adı Sistemi (DNS) ileticisini kullanmaları gerekir. Daha fazla bilgi için bkz . Azure özel uç nokta DNS yapılandırması.
• Azure Arc özellikli sunucu ve Azure Arc özel bağlantı kapsamı birbiriyle aynı Azure bölgesinde olmalıdır. Özel uç nokta ve sanal ağ birbiriyle aynı Azure bölgesinde olmalıdır, ancak Azure Arc özel bağlantı kapsamınızın ve Azure Arc özellikli sunucunuzun bölgesinden farklı olabilir.
• Microsoft Entra Id ve Azure Resource Manager'a giden ağ trafiği, Azure Arc özel bağlantı kapsamından geçiş yapmaz ve varsayılan ağ rotanızı İnternet'e kullanmaya devam eder. İsteğe bağlı olarak, Resource Manager trafiğini özel uç noktaya göndermek için bir kaynak yönetimi özel bağlantısı yapılandırabilirsiniz .
• Azure İzleyici gibi kullandığınız diğer Azure hizmetleri, sanal ağınızda kendi özel uç noktalarını gerektirir.
• Windows Yönetim Merkezi veya SSH kullanarak sunucuya uzaktan erişim şu anda özel bir bağlantı üzerinden desteklenmiyor.

Özel bağlantı kurulumunuzu planlama

Sunucunuzu özel bir bağlantı üzerinden Azure Arc'a bağlamak için ağınızı aşağıdaki görevleri gerçekleştirecek şekilde yapılandırmanız gerekir:

• Özel uç noktalar üzerinden Azure Arc ile iletişim kurabilen makineleri veya sunucuları denetleyen bir Azure Arc özel bağlantı kapsamı dağıtın. Özel uç nokta kullanarak Azure sanal ağınızla ilişkilendirin.
• Özel uç nokta adreslerini çözümlemek için yerel ağınızdaki DNS yapılandırmasını güncelleştirin.
• Yerel güvenlik duvarınızı Microsoft Entra Id ve Resource Manager erişimine izin verecek şekilde yapılandırın.
• Azure Arc özellikli sunuculara kayıtlı makineleri veya sunucuları özel bağlantı kapsamıyla ilişkilendirin.
• İsteğe bağlı olarak, makinenizi veya sunucunuzu yöneten diğer Azure hizmetleri için özel uç noktaları dağıtın, örneğin:
  • Azure Monitör
  • Azure Otomasyonu
  • Azure Blob Saklama Alanı
  • Azure Key Vault

Ağ yapılandırması

Azure Arc özellikli sunucular, hibrit makinelerinize veya sunucularınıza bulut yönetimi ve idare getirmek için çeşitli Azure hizmetleriyle tümleştirilir. Bu hizmetlerin çoğu zaten özel uç noktalar sunar. Güvenlik duvarınızı ve yönlendirme kurallarınızı, bu hizmetler özel uç noktalar sunana kadar İnternet üzerinden Microsoft Entra Id ve Resource Manager'a erişime izin verecek şekilde yapılandırmanız gerekir.

Erişime izin vermenin iki yolu vardır:

• yerel ağınızdaki güvenlik duvarını, indirilebilir hizmet etiketi dosyalarını kullanarak Microsoft Entra Id ve Azure'a giden TCP 443 (HTTPS) erişimine izin verecek şekilde yapılandırın. JSON dosyası Microsoft Entra ID ve Azure tarafından kullanılan genel IP adresi aralıklarını içerir ve tüm değişiklikleri yansıtacak şekilde aylık olarak güncelleştirilir.

  Microsoft Entra ID hizmet etiketi şeklindedir AzureActiveDirectory. Azure hizmet etiketi şeklindedir AzureResourceManager. Güvenlik duvarı kurallarınızı yapılandırmayı öğrenmek için ağ yöneticinize ve ağ güvenlik duvarı satıcınıza başvurun.

• Ağınız İnternet'e bağlı tüm trafiği Azure VPN veya ExpressRoute bağlantı hattı üzerinden yönlendirecek şekilde yapılandırılmışsa, Azure'da alt ağınızla ilişkili ağ güvenlik grubunu (NSG) yapılandırabilirsiniz. Microsoft Entra Id ve Azure'a giden TCP 443 (HTTPS) erişimine izin vermek için hizmet etiketlerini kullanın.

  NSG kuralları aşağıdaki tablo gibi görünmelidir:

  Ayar	Microsoft Entra Id kuralı	Azure kuralı
  Kaynak	Sanal ağ	Sanal ağ
  Kaynak bağlantı noktası aralıkları	*	*
  Varış Yeri	Hizmet etiketi	Hizmet etiketi
  Hedef hizmet etiketi	AzureActiveDirectory	AzureResourceManager
  Hedef bağlantı noktası aralıkları	443	443
  Protokol	TCP	TCP
  Eylem	İzin ver	İzin ver
  Öncelik	150 (İnternet erişimini engelleyen kurallardan daha düşük olmalıdır.)	151 (İnternet erişimini engelleyen kurallardan daha düşük olmalıdır.)
  Adı	AllowAADOutboundAccess	AllowAzOutboundAccess

  Komut satırını kullanarak bu NSG kurallarını oluşturmak için aşağıdaki yöntemlerden birini kullanın:

  Azure PowerShell

  $nsgName = "<nsg-name>"
  $resourceGroup = "<resource-group>"
  $nsg = Get-AzNetworkSecurityGroup -Name $nsgName -ResourceGroupName $resourceGroup
  
  # Microsoft Entra ID rule
  
  $nsg = $nsg | Add-AzNetworkSecurityRuleConfig `
    -Name "AllowAADOutboundAccess" `
    -Priority 150 `
    -Direction Outbound `
    -Access Allow `
    -Protocol Tcp `
    -SourceAddressPrefix VirtualNetwork `
    -SourcePortRange * `
    -DestinationAddressPrefix AzureActiveDirectory `
    -DestinationPortRange 443
  
  # Azure rule
  
  $nsg = $nsg | Add-AzNetworkSecurityRuleConfig `
    -Name "AllowAzOutboundAccess" `
    -Priority 151 `
    -Direction Outbound `
    -Access Allow `
    -Protocol Tcp `
    -SourceAddressPrefix VirtualNetwork `
    -SourcePortRange * `
    -DestinationAddressPrefix AzureResourceManager `
    -DestinationPortRange 443
  
  $nsg | Set-AzNetworkSecurityGroup
  

  Azure CLI

  # Microsoft Entra ID rule
  
  az network nsg rule create \
    --resource-group "<resource-group>" \
    --nsg-name "<nsg-name>" \
    --name "AllowAADOutboundAccess" \
    --priority 150 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --source-address-prefixes VirtualNetwork \
    --source-port-ranges "*" \
    --destination-address-prefixes AzureActiveDirectory \
    --destination-port-ranges 443
  
  # Azure rule
  
  az network nsg rule create \
    --resource-group "<resource-group>" \
    --nsg-name "<nsg-name>" \
    --name "AllowAzOutboundAccess" \
    --priority 151 \
    --direction Outbound \
    --access Allow \
    --protocol Tcp \
    --source-address-prefixes VirtualNetwork \
    --source-port-ranges "*" \
    --destination-address-prefixes AzureResourceManager \
    --destination-port-ranges 443
  

---

Ağ trafiği akışları hakkında daha fazla bilgi edinmek için bu makalenin Nasıl çalıştığı bölümündeki diyagrama bakın.

Azure Arc özel bağlantı kapsamı oluşturma

Önemli

Azure PowerShell veya Azure CLI kullanıyorsanız, this bölümüsingle terminal oturumunda (veya her adımı tek bir betik dosyasında birleştirin) içindeki tüm adımları çalıştırın. (PowerShell) ve $scopeId (Bash) gibi scopeId değişkenler önceki adımlarda ayarlanır ve sonraki adımlarda başvurulur. Adımlar arasında yeni bir terminal oturumu başlatmak bu değişkenlerin kaybolmasına ve sonraki komutların başarısız olmasına neden olur.

Azure portalı

1. Azure Portal’ında oturum açın.

2. Arama çubuğunda Azure Arc Özel Bağlantı Kapsamları öğesini arayın ve seçin ve ardından Oluştur'i seçin.

   

3. Temel Bilgiler sekmesinde bir abonelik ve kaynak grubu seçin.

4. Azure Arc özel bağlantı kapsamı için bir ad girin. Anlamlı ve net bir ad kullanmak en iyisidir.

5. İsteğe bağlı olarak, tüm ilişkili makinelerin yalnızca özel uç nokta üzerinden iletişim kurmasını kısıtlamak için Genel ağ erişimine izin ver onay kutusunu temizleyin. Varsayılan olarak, makinelerin veya sunucuların hem özel hem de genel ağlar üzerinden iletişim kurmasına olanak tanıyan bu onay kutusu seçilidir. Kapsamı oluşturduktan sonra bu ayarı değiştirebilirsiniz.

6. Özel uç nokta sekmesini ve ardından Oluştur'u seçin.

7. Özel uç nokta oluştur bölmesinde:

   1. Uç nokta için bir ad girin.

   2. Özel DNS bölgesiyle tümleştirme için Evet'i seçin ve otomatik olarak yeni bir özel DNS bölgesi oluşturmasına izin verin.

      Not

      Hayır'ı seçerseniz ve DNS kayıtlarını el ile yönetmeyi tercih ediyorsanız, önce bu özel uç nokta ve özel kapsam yapılandırması da dahil olmak üzere özel bağlantınızı ayarlamayı tamamlayın. Ardından DNS'nizi Azure özel uç nokta DNS yapılandırmasındaki yönergelere göre yapılandırın. Özel bağlantı kurulumunuz için hazırlık olarak boş kayıtlar oluşturmamaya dikkat edin. Oluşturduğunuz DNS kayıtları mevcut ayarları geçersiz kılabilir ve Azure Arc özellikli sunucularla bağlantınızı etkileyebilir.

      Hem özel bağlantılar kullanan Azure Arc kaynakları hem de özel bağlantılar kullanmayan kaynaklar için aynı sanal ağı/DNS bölgesini kullanamazsınız. Özel ağ bağlantılarına bağlı olmayan Azure Arc kaynaklarının genel uç noktalara erişilebilir olması gerekir.

   3. Tamam'ı seçin.

8. Seçin, gözden geçir ve oluştur.

   

9. Doğrulama başarılı olduktan sonra Oluştur'u seçin.

Azure PowerShell

1. Özel bağlantı kapsamını oluşturun:

   New-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -Location "<location>" `
     -ScopeName "<scope-name>" `
     -PublicNetworkAccess Enabled
   

   -PublicNetworkAccess ayarını Disabled olarak yapın, makinelerin yalnızca özel uç nokta üzerinden iletişim kurmasını kısıtlamak için.

2. Sonraki adımlarda kullanmak üzere kapsam kaynak kimliğini alın:

   $scope = Get-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -ScopeName "<scope-name>"
   $scopeId = $scope.Id
   

3. Hedef alt ağda özel uç nokta ağ ilkelerini devre dışı bırakın ve ardından özel uç noktayı oluşturun:

   $vnet = Get-AzVirtualNetwork -Name "<vnet-name>" -ResourceGroupName "<resource-group>"
   $subnet = Get-AzVirtualNetworkSubnetConfig -Name "<subnet-name>" -VirtualNetwork $vnet
   $subnet.PrivateEndpointNetworkPolicies = "Disabled"
   Set-AzVirtualNetwork -VirtualNetwork $vnet
   
   $privateEndpointConnection = New-AzPrivateLinkServiceConnection `
       -Name "<connection-name>" `
       -PrivateLinkServiceId $scopeId `
       -GroupId "hybridcompute"
   
   New-AzPrivateEndpoint `
       -ResourceGroupName "<resource-group>" `
       -Name "<endpoint-name>" `
       -Location "<location>" `
       -Subnet $subnet `
       -PrivateLinkServiceConnection $privateEndpointConnection
   

4. DNS bölgesi oluşturma ve bağlama:

   $resourceGroup = "<resource-group>"
   $vnetName = "<vnet-name>"
   $endpointName = "<endpoint-name>"
   
   # Define required DNS zones for Azure Arc
   $dnsZoneNames = @(
       "privatelink.his.arc.azure.com",
       "privatelink.guestconfiguration.azure.com"
   
       # Uncomment the following line if using Kubernetes extensions:
       # "privatelink.dp.kubernetesconfiguration.azure.com"
   )
   
   $vnet = Get-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroup
   
   # Step 1: Create private DNS zones and link to VNet
   foreach ($zoneName in $dnsZoneNames) {
   
       # Create the private DNS zone
       New-AzPrivateDnsZone `
           -ResourceGroupName $resourceGroup `
           -Name $zoneName
   
    # Link the DNS zone to the VNet
    New-AzPrivateDnsVirtualNetworkLink `
        -ResourceGroupName $resourceGroup `
        -ZoneName $zoneName `
        -Name "$($zoneName -replace '\.', '-')-link" `
        -VirtualNetworkId $vnet.Id
   
    Write-Host "Created and linked DNS zone: $zoneName"
   }
   
   # Step 2: Create the DNS zone group on the private endpoint
   $dnsZoneConfigs = $dnsZoneNames | ForEach-Object {
       $zone = Get-AzPrivateDnsZone -ResourceGroupName $resourceGroup -Name $_
       New-AzPrivateDnsZoneConfig `
           -Name ($_ -replace '\.', '-') `
           -PrivateDnsZoneId $zone.ResourceId
   }
   
   New-AzPrivateDnsZoneGroup `
       -ResourceGroupName $resourceGroup `
       -PrivateEndpointName $endpointName `
       -Name "arc-dns-zone-group" `
       -PrivateDnsZoneConfig $dnsZoneConfigs
   
   Write-Host "DNS zone group created on endpoint $endpointName"
   

Azure CLI

1. Özel bağlantı kapsamını oluşturun:

   az connectedmachine private-link-scope create \
     --resource-group "<resource-group>" \
     --location "<location>" \
     --scope-name "<scope-name>" \
     --public-network-access Enabled
   

   --public-network-access'i Disabled olarak ayarlamak için makinelerin yalnızca özel uç nokta üzerinden iletişim kurmasını kısıtlayın.

2. Sonraki adımlarda kullanmak üzere kapsam kaynak kimliğini alın:

   scopeId=$(az connectedmachine private-link-scope show \
     --resource-group "<resource-group>" \
     --scope-name "<scope-name>" \
     --query id -o tsv)
   

3. Hedef alt ağda özel uç nokta ağ ilkelerini devre dışı bırakın:

   az network vnet subnet update \
     --resource-group "<resource-group>" \
     --vnet-name "<vnet-name>" \
     --name "<subnet-name>" \
     --private-endpoint-network-policies Disabled
   

4. Özel uç noktayı oluşturun ve kapsamla ilişkilendirin:

   az network private-endpoint create \
     --resource-group "<resource-group>" \
     --name "<endpoint-name>" \
     --location "<location>" \
     --vnet-name "<vnet-name>" \
     --subnet "<subnet-name>" \
     --private-connection-resource-id "$scopeId" \
     --group-id "hybridcompute" \
     --connection-name "<connection-name>"
   

5. DNS bölgesi oluşturma ve bağlama:

   RESOURCE_GROUP="<resource-group>"
   VNET_NAME="<vnet-name>"
   ENDPOINT_NAME="<endpoint-name>"
   
   # Define required DNS zones for Azure Arc
   DNS_ZONES=(
       "privatelink.his.arc.azure.com"
       "privatelink.guestconfiguration.azure.com"
       # Uncomment the following line if using Kubernetes extensions:
       # "privatelink.dp.kubernetesconfiguration.azure.com"
   )
   
   # Get VNet resource ID
   VNET_ID=$(az network vnet show \
       --resource-group "$RESOURCE_GROUP" \
       --name "$VNET_NAME" \
       --query id -o tsv)
   
   # Step 1: Create DNS zones and link to VNet
   for ZONE in "${DNS_ZONES[@]}"; do
       LINK_NAME="${ZONE//./-}-link"
   
       # Create the private DNS zone
       az network private-dns zone create \
           --resource-group "$RESOURCE_GROUP" \
           --name "$ZONE" \
           --output none
   
       # Link the DNS zone to the VNet
       az network private-dns link vnet create \
           --resource-group "$RESOURCE_GROUP" \
           --zone-name "$ZONE" \
           --name "$LINK_NAME" \
           --virtual-network "$VNET_ID" \
           --registration-enabled false \
           --output none
   
       echo "Created and linked DNS zone: $ZONE"
   done
   
   # Step 2: Create DNS zone group on the private endpoint
   FIRST=true
   for ZONE in "${DNS_ZONES[@]}"; do
       ZONE_ID=$(az network private-dns zone show \
           --resource-group "$RESOURCE_GROUP" \
           --name "$ZONE" \
           --query id -o tsv)
       CONFIG_NAME="${ZONE//./-}"
   
       if [ "$FIRST" = true ]; then
           # Create the zone group with the first zone
           az network private-endpoint dns-zone-group create \
               --resource-group "$RESOURCE_GROUP" \
               --endpoint-name "$ENDPOINT_NAME" \
               --name "arc-dns-zone-group" \
               --zone-name "$CONFIG_NAME" \
               --private-dns-zone "$ZONE_ID" \
               --output none
           FIRST=false
       else
           # Add subsequent zones to the existing group
           az network private-endpoint dns-zone-group add \
               --resource-group "$RESOURCE_GROUP" \
               --endpoint-name "$ENDPOINT_NAME" \
               --name "arc-dns-zone-group" \
               --zone-name "$CONFIG_NAME" \
               --private-dns-zone "$ZONE_ID" \
               --output none
       fi
   
       echo "Added zone '$ZONE' to DNS zone group."
   done
   
   echo "DNS zone group created on endpoint '$ENDPOINT_NAME'."
   

Şirket içi DNS iletmeyi yapılandırma

Şirket içi makineleriniz veya sunucularınız özel uç nokta IP adreslerine özel bağlantı DNS kayıtlarını çözümleyebilmelidir. Bu davranışı nasıl yapılandırdığınız, aşağıdakini kullanıp kullanmadığınıza bağlıdır:

• DNS kayıtlarını korumak için Azure özel DNS bölgeleri.

• Şirket içinde kendi DNS sunucunuz ve yapılandırdığınız sunucu sayısı.

Azure ile tümleşik özel DNS bölgelerini kullanarak DNS yapılandırması

Özel uç noktayı oluştururken özel DNS bölgeleri ayarlarsanız, şirket içi DNS sunucunuzun özel uç nokta adreslerini çözümlemek için sorguları Azure DNS iletmesi gerekir. Azure'da ya ayrılmış bir VM ya da DNS ara sunucusu etkinleştirilmiş bir Azure Güvenlik Duvarı örneği olarak bir DNS ileticisini dağıtın.

Daha fazla bilgi için bkz. Şirket içi DNS ileticisi ile Azure DNS Özel Çözümleyicisi.

El ile DNS sunucusu yapılandırması

Özel uç nokta oluşturma sırasında Azure özel DNS bölgelerini kullanmayı geri çevirdiyseniz, şirket içi DNS sunucunuzda gerekli DNS kayıtlarını oluşturmanız gerekir.

Azure portalı

1. Azure portalında, sanal ağınızla ve özel bağlantı kapsamınızla ilişkili özel uç nokta kaynağına gidin.

2. Dns sunucunuzda ayarlamanız gereken DNS kayıtlarının ve ilgili IP adreslerinin listesini görmek için hizmet menüsünde , Ayarlar'ın altında DNS yapılandırması'nı seçin. FQDN'ler ve IP adresleri, özel uç noktanız için seçtiğiniz bölgeye ve alt ağınızdaki kullanılabilir IP adreslerine göre değişir.

Azure PowerShell

DNS sunucunuz için gereken DNS kayıtlarını ve IP adreslerini almak için aşağıdaki komutu çalıştırın:

$endpoint = Get-AzPrivateEndpoint `
  -ResourceGroupName "<resource-group>" `
  -Name "<endpoint-name>"

$endpoint.CustomDnsConfigs | Select-Object Fqdn, IpAddresses

Azure CLI

DNS sunucunuz için gereken DNS kayıtlarını ve IP adreslerini almak için aşağıdaki komutu çalıştırın:

az network private-endpoint show \
  --resource-group "<resource-group>" \
  --name "<endpoint-name>" \
  --query "customDnsConfigs[].{FQDN:fqdn, IPAddresses:ipAddresses}" \
  --output table

FQDN'lerin ve IP adreslerinin listesini aldıktan sonra, gerekli DNS bölgelerini ve A kayıtlarını eklemek için DNS sunucusu satıcınızın yönergelerini izleyin. Ağınız için uygun kapsamı belirlenmiş bir DNS sunucusu seçtiğinizden emin olun. Bu DNS sunucusunu kullanan her makine veya sunucu artık özel uç nokta IP adreslerini çözümlemektedir. Her makine veya sunucu Azure Arc özel bağlantı kapsamıyla ilişkilendirilmelidir, aksi durumda bağlantı reddedilir.

Tek sunuculu senaryolar

Yalnızca birkaç makineyi veya sunucuyu desteklemek için özel bağlantılar kullanmayı planlıyorsanız, ağınızın tüm DNS yapılandırmasını güncelleştirmek istemeyebilirsiniz. Bu durumda, işletim sisteminizin Hosts dosyasına özel uç nokta ana bilgisayar adlarını ve IP adreslerini ekleyebilirsiniz. İşletim sistemi yapılandırmasına bağlı olarak, Hosts dosyası bir ana bilgisayar adını bir IP adresine çözümlemek için birincil veya alternatif yöntem olabilir.

Windows

1. C:\Windows\System32\drivers\etc\hosts açmak için yönetici ayrıcalıklarına sahip bir hesap kullanın.

2. El ile DNS sunucusu yapılandırması bölümünde açıklandığı gibi DNS yapılandırma listesinden özel uç nokta IP'lerini ve ana bilgisayar adlarını ekleyin. Hosts dosyası önce IP adresini, ardından bir boşluk ve ardından ana bilgisayar adını gerektirir.

3. Değişikliklerinizle birlikte dosyayı kaydedin. Önce başka bir dizine kaydetmeniz ve ardından dosyayı özgün yola kopyalamanız gerekebilir.

Linux

1. /etc/hosts dosyasını bir metin düzenleyicisinde açın.

2. El ile DNS sunucusu yapılandırması bölümünde açıklandığı gibi DNS yapılandırma listesinden özel uç nokta IP'lerini ve ana bilgisayar adlarını ekleyin. Hosts dosyası önce IP adresini, ardından bir boşluk ve ardından ana bilgisayar adını gerektirir.

3. Değişikliklerinizle birlikte dosyayı kaydedin.

Azure Arc özellikli bir sunucuya bağlanma

Özel uç nokta kullanmak için Azure Connected Machine aracısının 1.4 veya sonraki bir sürümü gerekir. Portalda oluşturulan Azure Arc özellikli sunucuların dağıtım betiği en son sürümü indirir.

Özel Bağlantı kullanmak için yeni bir Azure Arc özellikli sunucu yapılandırma

Azure Arc özellikli sunucularla bir makineyi veya sunucuyu ilk kez bağladığınızda, isteğe bağlı olarak özel bir bağlantı kapsamına bağlayabilirsiniz.

Not

Ekleme betiği Azure portalından oluşturulmalıdır. Makine bağlandıktan sonra, Azure PowerShell veya Azure CLI kullanarak özel bir bağlantı kapsamıyla ilişkilendirebilirsiniz. Bkz. Var olan Azure Arc etkin sunucuyu yapılandırma.

1. Azure Portal’ında oturum açın. Arama çubuğunda Azure Arc araması yapın ve seçin.

2. Altyapı'nın altında Makineler'i seçin. Komut çubuğunda Ekle/Oluştur'u ve ardından Makine ekle'yi seçin.

3. Azure Arc ile sunucu ekle sayfasında, Dağıtım senaryonuza bağlı olarak Tek sunucu ekle veya Birden çok sunucu ekle'yi seçin ve ardından Betik oluştur'a tıklayın.

4. Temel Bilgiler sayfasında aşağıdaki bilgileri sağlayın:

   1. Makine için aboneliği ve kaynak grubunu seçin.

   2. Bölge açılan listesinde, makine veya sunucu meta verilerini depolamak için Azure bölgesini seçin.

   3. İşletim sistemi açılan listesinde, betiğin çalıştırılacak şekilde yapılandırıldığı işletim sistemini seçin.

   4. Connectivity method altında Private uç noktası öğesini seçin ve açılan listeden oluşturduğunuz Azure Arc özel bağlantı kapsamını seçin.

      

   5. İleri: Etiketler'i seçin.

5. Kimlik Doğrulaması sayfasında Birden çok sunucu ekle'yi seçtiyseniz, açılan listeden Azure Arc özellikli sunucular için oluşturulan hizmet sorumlusunu seçin. Azure Arc özellikli sunucular için bir hizmet sorumlusu oluşturmanız gerekiyorsa, izinler ve bir tane oluşturmak için gereken adımlar hakkında bilgi edinmek için hizmet sorumlusu oluşturmayı gözden geçirin. Devam etmek için İleri: Etiketler'i seçin.

6. Etiketler sayfasında, önerilen varsayılan Fiziksel konum etiketlerini gözden geçirin ve bir değer girin veya standartlarınızı desteklemek için bir veya daha fazla özel etiket belirtin.

7. İleri: Betiği indir ve çalıştır'ı seçin.

8. Betiği indir ve çalıştır sayfasında özet bilgilerini gözden geçirin ve İndir'i seçin.

Betiği indirdikten sonra, ayrıcalıklı (yönetici veya root) bir hesap kullanarak makinenizde veya sunucunuzda çalıştırmanız gerekir. Ağ yapılandırmanıza bağlı olarak, aracıyı İnternet erişimi olan bir bilgisayardan indirmeniz ve makinenize veya sunucunuza aktarmanız gerekebilir. Ardından betiği ajan yolunu belirterek değiştirin.

Windows aracısını ve Linux aracısını indirebilirsiniz. İşletim sistemi dağıtım dizininizin altında en son sürümünü azcmagent bulun ve yerel paket yöneticinizle birlikte yükleyin.

Betik, ekleme işleminin tamamlandıktan sonra başarılı olup olmadığını belirten durum iletileri döndürür.

Azure Connected Machine aracısından Microsoft Entra Id (login.windows.net, login.microsoftonline.com, pas.windows.net) ve Resource Manager'a (management.azure.com) yönelik ağ trafiği genel uç noktaları kullanmaya devam eder. Sunucunuzun bu uç noktalara ulaşmak için bir ara sunucu üzerinden iletişim kurması gerekiyorsa, Aracıyı Azure'a bağlamadan önce ara sunucu URL'si ile yapılandırın . Proxy sunucunuzdan özel uç noktanıza erişilemiyorsa, Azure Arc hizmetleri için proxy atlamasını yapılandırmanız gerekebilir.

Mevcut Azure Arc özellikli sunucuyu yapılandırma

Özel bağlantı kapsamınızdan önce ayarlanan Azure Arc özellikli sunucular için, Azure Arc özellikli sunucular özel bağlantı kapsamını kullanarak başlamalarına izin verebilirsiniz.

Azure portalı

1. Azure portalında Azure Arc özel bağlantı kapsamı kaynağınıza gidin.

2. Hizmet menüsünde, Yapılandır'ın altında Azure Arc kaynakları'nı ve ardından + Ekle'yi seçin.

3. Listeden özel bağlantı kapsamıyla ilişkilendirmek istediğiniz sunucuları seçin ve sonra değişikliklerinizi kaydetmek için Seç'i seçin.

   

Azure PowerShell

1. Özel bağlantı kapsamı kaynak kimliğini alın:

   $scope = Get-AzConnectedPrivateLinkScope `
     -ResourceGroupName "<resource-group>" `
     -ScopeName "<scope-name>"
   

2. Makineyi özel bağlantı kapsamıyla ilişkilendirin:

   Update-AzConnectedMachine `
     -ResourceGroupName "<resource-group>" `
     -Name "<machine-name>" `
     -PrivateLinkScopeResourceId $scope.Id
   

Azure CLI

1. Özel bağlantı kapsamı kaynak kimliğini alın:

   scopeId=$(az connectedmachine private-link-scope show \
     --resource-group "<resource-group>" \
     --scope-name "<scope-name>" \
     --query id -o tsv)
   

2. Makineyi özel bağlantı kapsamıyla ilişkilendirin:

   az connectedmachine update \
     --resource-group "<resource-group>" \
     --name "<machine-name>" \
     --private-link-scope-resource-id "$scopeId"
   

Özel bağlantı kapsamının yakın zamanda ilişkili sunuculardan gelen bağlantıları kabul etmek 15 dakika kadar sürebilir.

Sorun giderme

Sorunlarla karşılaşırsanız aşağıdaki öneriler yardımcı olabilir:

• Şirket içi DNS sunucunuzu denetleyerek Azure DNS'ye mi yönlendirdiğini ya da özel bağlantı alanınızda uygun A kayıtlarıyla mı yapılandırıldığını doğrulayın. Bu arama komutları, Azure sanal ağınızda özel IP adresleri döndürmelidir. Genel IP adreslerini çözümlerse makinenizi veya sunucunuzu ve ağınızın DNS yapılandırmasını bir kez daha denetleyin.

  nslookup gbl.his.arc.azure.com
  nslookup agentserviceapi.guestconfiguration.azure.com
  

• Makine veya sunucu eklemeyle ilgili sorunlar için Yerel ağ güvenlik duvarınıza Microsoft Entra Id ve Resource Manager hizmet etiketlerini eklediğinizi onaylayın. Bu hizmetler için özel uç noktalar kullanılabilir olana kadar aracının bu hizmetlerle İnternet üzerinden iletişim kurması gerekir.

Daha fazla sorun giderme yardımı için bkz. Azure özel uç nokta bağlantı sorunlarını giderme.

İlgili içerik

• Özel uç noktalar hakkında daha fazla bilgi için bkz. Özel uç nokta nedir?.
• Azure Otomasyonu, Azure İzleyici, Azure Key Vault veya Azure Blob Depolama için özel bağlantıları yapılandırmayı öğrenin.