你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。

存储迁移器的网络前提条件

Azure 存储移动器是一项旨在促进无缝数据迁移到 Azure 存储帐户的服务。 对于优先考虑安全性和合规性的组织，将存储移动器与 Azure 专用网络集成可确保敏感数据和凭据在整个迁移过程中保持受保护。

注释

Azure 存储移动器同时支持本地和云数据源和目标。 本地数据源使用一个或多个代理迁移到 Azure 存储，而云数据源则直接使用存储移动器服务进行迁移。

本文重点介绍将本地基础结构连接到 Azure 的先决条件，并包括专用网络注意事项。

Azure 存储移动器通信通过 HTTPS 进行。 这种加密通信使通过公共 Internet 进行迁移对许多组织来说足够安全。 例如，这些组织可能不需要对其存储帐户和密钥保管库进行专用网络访问。 对于优先考虑安全性和合规性的组织，将存储移动器与 Azure 专用网络集成可确保敏感数据和凭据在整个迁移过程中保持受保护。 这些配置通常从创建 Azure 虚拟网络开始，该虚拟网络充当安全连接的基础。 有关 Azure 虚拟网络的详细信息，请参阅 什么是 Azure 虚拟网络。

重要

目前，可以将存储移动器配置为通过专用链接将迁移数据从代理路由到目标存储帐户。 混合计算检测信号和证书也可以路由到虚拟网络 (VNet) 中的专用 Azure Arc 服务终结点。 某些存储移动器流量无法通过专用链接路由，并且通过存储移动器资源的公共终结点进行路由。 此数据包括控制消息、进度遥测和复制日志。

若要将本地基础结构链接到 Azure，组织需要启用混合连接。 可以通过 Azure VPN 网关或 Azure ExpressRoute 使用站点到站点 VPN 创建此混合链接。 这两个选项都建立专用隧道，以实现对 Azure 资源的安全访问。 有关 Azure VPN 网关或 ExpressRoute 的详细信息，请参阅 什么是 Azure VPN 网关 或 什么是 Azure ExpressRoute。

专用终结点在此方法中也起着关键作用，允许以私密方式访问 Azure 存储帐户和 Azure Key Vault 等服务。 这些终结点驻留在虚拟网络的子网中，需要域名系统（DNS）记录才能正确解析专用 IP 地址。 在设置过程中，用户可以配置专用 DNS 区域来管理这些记录。 有关专用终结点的详细信息，请参阅 什么是 Azure 专用终结点。

本文概述了在专用网络环境中部署 Azure 存储移动器所需的关键要求和配置步骤。

网络概述

在专用网络环境中部署 Azure 存储移动器时，必须配置多个组件以确保安全高效的作。 执行实际数据迁移任务的存储 Mover 代理需要连接到各种 Azure 服务。 其中一些服务支持专用终结点，而另一些服务则需要公共终结点访问。

所需的端口

存储移动器代理支持 SMB 和 NFS 客户端。 必须在存储移动器代理 VM、存储 VM 和 Azure 文件共享之间启用以下端口列表。

服务 端口和协议 源 VM 目标
SMB 445/TCP 代理 VM 本地 SMB 共享服务器
NFS 2049/TCP 代理 VM 本地 NFS 共享服务器
Blob 或文件共享目标 443/HTTPS 代理 VM Azure 文件共享

所需的服务和终结点

下表汇总了所需的服务、其终结点类型以及是否支持专用访问。 由于网络设置必须允许存储移动程序代理通过 HTTPS 连接到服务的终结点，因此还包含了完全限定域名 (FQDN)。

服务 用途： 支持私有终结点 FQDN
Microsoft制品注册表 代理更新 ❌ mcr.microsoft.com
存储迁移服务 代理检测信号和迁移作业分配 ❌ <region>.agentgateway.prd.azsm.azure.com
事件中心 发布复制日志 ❌ evhns-sm-ur-prd-<region>.servicebus.windows.net
蔚蓝弧 Registration ✅（通过 Arc 专用链接范围） *.guestconfiguration.azure.com 和
*.his.arc.azure.com
Microsoft Entra ID Registration ❌ login.microsoftonline.com 和
pas.windows.net
Azure 资源管理器 Registration ❌ management.azure.com
存储帐户（Flat Blob） 作业目标 ✅ *.blob.core.windows.net
存储帐户（HNS Blob） 作业目标 ✅ *.blob.core.windows.net 和
*.dfs.core.windows.net
存储帐户（文件） 作业目标 ✅ *.file.core.windows.net
密钥保管库 所需的数据源终结点访问凭据 ✅ *.vault.azure.net

以下部分详细介绍了在专用网络中部署存储移动器所需的组件、公共终结点依赖项和网络注意事项。

专用网络要求

在存储移动器层次结构中，存储移动器资源是在 Azure 订阅中部署的顶级服务资源。 服务和迁移的所有方面都受此资源控制。 但是，存储移动器代理执行大部分迁移工作。 存储 Mover 代理是网络中用于通过执行数据传输促进迁移的虚拟机。

为了确保存储移动器代理可以在专用网络中运行，它必须连接到多个 Azure 服务。 其中一些服务支持专用终结点，而另一些服务则需要公共终结点访问。

若要确保存储 Mover 代理以私密方式连接到 Azure 资源，需要以下组件：

  • Azure 虚拟网络：
    Azure 虚拟网络是 Azure 中的隔离网络，为专用连接提供了基础。 它允许你定义子网、配置路由和设置网络安全组（NSG），以控制流量流。 虚拟网络充当将本地基础结构安全地连接到 Azure 资源的主干。
  • VPN 网关或 ExpressRoute：
    可以使用 VPN 网关或 Azure ExpressRoute 将本地网络链接到 Azure 虚拟网络。 VPN 网关用于网络之间的站点到站点 VPN 连接，而 ExpressRoute 提供专用连接。 这两个选项都支持本地基础结构与 Azure 资源之间的安全通信。
  • 专用终结点：
    Azure 专用终结点是可以使用虚拟网络中的专用 IP 安全地连接 Azure 服务的资源。 可以通过创建专用终结点资源并将其分配给另一个预先存在的资源（例如存储帐户或 Key Vault）来限制对虚拟网络中的客户端的访问。
  • DNS 配置：
    需要适当的 DNS 配置才能解析资源终结点的专用终结点 IP 地址。 由于可以在创建专用终结点期间创建专用 DNS 区域并将其链接到虚拟网络，因此可以在设置过程中完成此配置。

支持专用终结点的所有服务也可以作为公共终结点进行访问，但某些资源可配置为拒绝或允许公共连接。

下图展示了一个资源拓扑示例，用于启用与所有支持的端点之间的专用连接。

注释

此配置是专用网络的许多可能设置之一，不包括网络配置中涉及的所有组件，例如 DNS、代理和虚拟网络对等互连。

一张图表，演示一种资源拓扑示例，以便为支持它的所有终结点启用专用连接。

1 个 Arc 专用链接范围提供对三个 Arc 服务的访问权限，如下图所示。 存储移动器代理不使用 扩展 Arc 服务。 它在图像中显得不那么显眼，以避免混淆。
2 Arc 专用链接范围及其连接的三个 Arc 服务可以直接通过公共终结点进行访问。 可以将 Arc 专用链接范围配置为启用或禁用公用网络访问。
3 建议的最佳做法是使用多个 Azure 虚拟网络。 使用 Azure VPN 网关连接到“中心”虚拟网络。 使用第二个“分支”虚拟网络（通过虚拟网络对等互连与“中心”相连）来容纳资源。 有关详细指南，请参阅 什么是 Azure 登陆区域。

公共端点依赖项

尽管强调专用网络，但某些必需的存储移动器服务只能通过公共终结点访问，如上图中所示。 可以通过公共端点使用 ExpressRoute Microsoft Peering 安全地访问这些服务，该 peering 为 Azure 服务提供专用隧道。 有关详细信息，请参阅 Microsoft 对等连接。

必须通过公共终结点访问以下终结点，存储移动器代理才能正常运行：

  • 用于自动化代理更新的 Microsoft 工件注册表。
  • 用于代理检测信号和作业协调的存储移动程序服务。
  • 事件中心用于发布复制日志。
  • 用于注册和标识管理的 Azure AD/Microsoft Entra ID。
  • 用于注册和资源管理的 Azure 资源管理器。

已启用 Arc 的服务器注意事项

存储移动器代理是已启用 Arc 的服务器，需要连接到多个 Azure 服务。 由于许多 Arc 服务不支持直接 Azure 专用终结点资源，因此需要确定你的要求是否包括私下与 Arc 通信。 如果是这样，建议的方法是配置 Azure Arc 专用链接范围。

专用链接范围可让你通过促进专用终结点与存储移动程序代理所需的 Arc 服务之间的数据流来维持专用连接。 有关 Arc 专用链接范围的详细信息，请参阅 使用 Azure 专用链接安全地将服务器连接到 Azure Arc。

注释

Azure Arc 专用链接范围不是存储帐户或密钥保管库所必需的。

其他网络注意事项

除了核心组件之外，还可以配置网络注意事项来增强存储移动器代理的安全性和功能。 但是，这些配置是可选的，具体取决于特定的网络要求，并可能会影响网络性能，尤其是在配置错误时。

代理支持

存储移动器代理支持外部 HTTP 和 HTTPS 代理。 在 “网络配置” 部分的 “更新网络配置 ”菜单中，通过代理的 shell 完成配置。 出现提示时，选择 “代理 ”并输入代理的完全限定域名（FQDN）或 IP 地址。 如有必要，请包括端口号。 以下示例演示了配置步骤：

显示“存储移动器代理”中代理配置界面的屏幕截图。

SSL 检查

如果网络执行 SSL 拦截，代理可能无法识别修改的证书。 目前不支持将自定义证书添加到代理。 若要避免问题，请将所需的终结点添加到允许列表以绕过 SSL 检查。 “ 网络概述 ”部分提供了这些终结点。

  • 上次更新时间为