你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

使用私有终结点配置应用程序安全组

Azure 专用链接专用终结点支持应用程序安全组（ASG）实现网络安全。 可以将专用终结点与当前基础结构中的现有 ASG 与虚拟机和其他网络资源相关联。

先决条件

• 具有活动订阅的 Azure 帐户。 如果还没有 Azure 帐户，可以免费创建帐户。

• 一个 Azure Web 应用，其中包含部署在 Azure 订阅中的 高级版 V2 层或更高版本的应用服务计划。

  • 有关详细信息及示例，请参阅快速入门：在 Azure 中创建 ASP.NET Core Web 应用。
  • 本文中的示例 Web 应用名为 myWebApp1979。 将示例替换为 Web 应用名称。

• 订阅中的现有 ASG。 有关 ASG 的详细信息，请参阅应用程序安全组。

  • 本文中使用的 ASG 示例命名为 myASG。 将示例替换为你的应用程序安全组。

• 订阅中的现有 Azure 虚拟网络和子网。 有关如何创建虚拟网络的详细信息，请参阅快速入门：使用 Azure 门户创建虚拟网络。

  • 本文中使用的示例虚拟网络名为 myVNet。 将示例替换为你的虚拟网络。

• 已安装最新版本的 Azure CLI。

  • 通过运行 az --version 在终端或命令窗口中检查 Azure CLI 版本。 有关最新版本，请参阅最新发行说明。
  • 如果没有最新版本的 Azure CLI，请按照适用于你操作系统或平台的安装指南来更新它。

如果选择在本地安装和使用 PowerShell，本文需要 Azure PowerShell 模块 5.4.1 或更高版本。 要查找已安装的版本，请运行 Get-Module -ListAvailable Az。 如果需要升级，请参阅安装 Azure PowerShell 模块。 如果在本地运行 PowerShell，则还需运行 Connect-AzAccount 以创建与 Azure 的连接。

使用 ASG 创建专用终结点

创建 ASG 时，可以将 ASG 与专用终结点相关联。 以下过程演示如何在创建 ASG 时将 ASG 与专用终结点相关联。

门户

1. 登录 Azure 门户。

2. 在门户顶部的搜索框中，输入“专用终结点”。 在搜索结果中选择“专用终结点”。

3. 在“专用终结点”中选择“+ 创建”。

4. 在“创建专用终结点”的“基本信息”选项卡上，输入或选择以下信息：

   值	设置
   项目详细信息
   订阅	选择订阅。
   资源组	选择你的资源组。 在此示例中，它是 myResourceGroup。
   实例详细信息
   名称	输入“myPrivateEndpoint”。
   区域	选择“美国东部”。

5. 选择页面底部的“下一步: 资源”。

6. 在 “资源 ”选项卡上，输入或选择以下信息：

   值	设置
   连接方法	选择“连接到我的目录中的 Azure 资源”。
   订阅	选择订阅。
   资源类型	选择“Microsoft.Web/sites”。
   资源	选择 mywebapp1979。
   目标子资源	选择“站点”。

7. 选择页面底部的“下一步: 虚拟网络”。

8. 在“虚拟网络”选项卡上，输入或选择以下信息：

   值	设置
   联网
   虚拟网络	选择“myVNet”。
   子网	选择子网。 在这个例子中，它是 myVNet/myBackendSubnet(10.0.0.0/24)。
   为此子网中所有专用终结点启用网络策略。	保留默认选项。
   应用程序安全组
   应用程序安全组	选择 myASG。

   

9. 选择页面底部的“下一步: DNS”。

10. 选择页面底部的“下一步: 标记”。

11. 在完成时选择“下一步:查看 + 创建”。

12. 选择“创建”。

PowerShell

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Place the application security group you created previously into a variable. ##
$asg = Get-AzApplicationSecurityGroup -ResourceGroupName 'myResourceGroup' -Name 'myASG'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    ApplicationSecurityGroup = $asg
}
New-AzPrivateEndpoint @pe

CLI

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

asgid=$(az network asg show \
    --name myASG \
    --resource-group myResourceGroup \
    --query id \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --asg id=$asgid \
    --group-id sites \
    --vnet-name myVNet    

将 ASG 与现有的专用终结点相关联

可以将 ASG 与现有的专用终结点相关联。 以下过程演示了如何将 ASG 与现有专用终结点关联。

重要

你必须具有先前部署的专用终结点才能继续执行本节中的步骤。 本节中使用的示例终结点名为 myPrivateEndpoint。 将示例替换为你的专用终结点。

门户

1. 登录 Azure 门户。

2. 在门户顶部的搜索框中，输入“专用终结点”。 在搜索结果中选择“专用终结点”。

3. 在“专用终结点”中，选择 myPrivateEndpoint。

4. 在 myPrivateEndpoint 的“设置”中，选择“应用程序安全组”。

5. 在 应用程序安全组中，在 下拉列表中选择 myASG 。

   

6. 选择“保存”。

PowerShell

目前不支持使用 Azure PowerShell 将 ASG 与现有的专用终结点关联。

CLI

asgid=$(az network asg show \
    --name myASG \
    --resource-group myResourceGroup \
    --query id \
    --output tsv)

az network private-endpoint asg add \
    --resource-group myResourceGroup \
    --endpoint-name myPrivateEndpoint \
    --asg-id $asgid

后续步骤

有关 Azure 专用链接的详细信息，请参阅：

• 什么是 Azure 专用链接？