Che cos'è un endpoint privato?

L'endpoint privato è un'interfaccia di rete che usa un indirizzo IP provato della rete virtuale. L’interfaccia di rete connette l'utente in modo privato e sicuro a un servizio gestito dal collegamento privato di Azure. Abilitando un endpoint privato, si porta il servizio nella rete virtuale.

Il servizio può essere un servizio di Azure, ad esempio:

• Archiviazione di Azure
• Azure Cosmos DB, un servizio di database distribuito globale di Microsoft
• database SQL di Azure
• Servizio personalizzato, tramite il servizio di collegamento privato.

Proprietà dell'endpoint privato

Per un endpoint privato sono specificate le seguenti proprietà:

Durante la creazione di endpoint privati, tenere presente quanto segue:

• Gli endpoint privati consentono la connettività tra i clienti di:

  • Rete virtuale
  • Reti virtuali con peering a livello di area
  • Reti virtuali con peering a livello globale
  • Ambienti locali che usano una VPN o Express Route
  • Servizi basati su collegamento privato

• Le connessioni di rete possono essere avviate solo dai client che si connettono all'endpoint privato. I provider di servizi non hanno una configurazione di routing per creare connessioni ai clienti del servizio. Le connessioni possono essere stabilite solo in un'unica direzione.

• Per il ciclo di vita dell'endpoint privato viene creata automaticamente un'interfaccia di rete di sola lettura. All'interfaccia viene assegnato un indirizzo IP privato dinamico dalla subnet mappato alla risorsa collegamento privato. Il valore dell'indirizzo IP privato rimane invariato per l'intero ciclo di vita dell'endpoint privato.

• L'endpoint privato deve essere distribuito nella stessa area e nella stessa sottoscrizione della rete virtuale.

• La risorsa collegamento privato può essere distribuita in un'area diversa rispetto alla rete virtuale e all'endpoint privato.

• È possibile creare più endpoint privati usando la stessa risorsa collegamento privato. Per una singola rete che usa una configurazione del server DNS comune, la procedura consigliata consiste nell'usare un singolo endpoint privato per una risorsa collegamento privato specifica per evitare voci duplicate o conflitti nella risoluzione DNS.

• È possibile creare più endpoint privati nella stessa subnet o in subnet diverse all'interno della stessa rete virtuale. Sono previsti limiti per il numero di endpoint privati che è possibile creare in una sottoscrizione. Per altre informazioni, consultare limiti di Azure.

• La sottoscrizione che contiene la risorsa collegamento privato deve essere registrata con il provider di risorse di rete Microsoft. Anche la sottoscrizione che contiene l'endpoint privato deve essere registrata con il provider di risorse di rete Microsoft. Per altre informazioni, vedere Provider di risorse di Azure.

Risorsa Collegamento privato

Una risorsa di collegamento privato è la destinazione di un endpoint privato specificato. La tabella seguente elenca le risorse disponibili che supportano un endpoint privato:

Sicurezza di rete degli endpoint privati

Quando si usano gli endpoint privati, il traffico viene protetto in una risorsa collegamento privato. La piattaforma convalida le connessioni di rete, consentendo solo quelle che raggiungono la risorsa collegamento privato specificata. Per accedere a più sottorisorse all'interno dello stesso servizio di Azure, sono necessari più endpoint privati con destinazioni corrispondenti. Nel caso di Archiviazione di Azure, ad esempio, è necessario separare gli endpoint privati per accedere alle sottorisorse file e BLOB.

Gli endpoint privati forniscono un indirizzo IP accessibile privatamente per il servizio di Azure, ma non limitano necessariamente l'accesso alla rete pubblica. Tutti gli altri servizi di Azure richiedono tuttavia controlli di accesso aggiuntivi. Questi controlli forniscono alle risorse un livello di sicurezza di rete aggiuntivo, offrendo protezione per impedire l'accesso al servizio di Azure associato alla risorsa collegamento privato.

Gli endpoint privati supportano i criteri di rete. I criteri di rete consentono il supporto per i gruppi di sicurezza di rete, le route definite dall'utente e i gruppi di sicurezza delle applicazioni. Per altre informazioni sull'abilitazione dei criteri di rete per un endpoint privato, vedere Gestire i criteri di rete per gli endpoint privati. Per usare un ASG con un endpoint privato, vedere Configurare un gruppo di sicurezza delle applicazioni (ASG) con un endpoint privato.

Accedere a una risorsa di collegamento privato tramite il flusso di lavoro di approvazione

È possibile connettersi a una risorsa di collegamento privato tramite i metodi di approvazione della connessione seguenti:

• Approvazione automatica: usare questo metodo quando si è proprietari o si dispone delle autorizzazioni per la risorsa di collegamento privato specifica. Le autorizzazioni richieste sono basate sul tipo di risorsa di collegamento privato nel formato seguente:

  Microsoft.<Provider>/<resource_type>/privateEndpointConnectionsApproval/action

• Richiesta manuale: usare questo metodo quando non si hanno le autorizzazioni necessarie e si vuole richiedere l'accesso. Viene avviato un flusso di lavoro di approvazione. L'endpoint privato e le connessioni endpoint private successive vengono create con stato In sospeso. Il proprietario della risorsa di collegamento privato ha la responsabilità di approvare la connessione. Dopo l'approvazione, l'endpoint privato è abilitato per l'invio normale del traffico, come mostrato nel diagramma sul flusso di lavoro di approvazione seguente:

Tramite una connessione endpoint privato, un proprietario della risorsa di collegamento privato può:

• Esaminare tutti i dettagli della connessione agli endpoint privati.
• Approvare una connessione endpoint privato. L'endpoint privato corrispondente viene abilitato in modo da inviare traffico alla risorsa di collegamento privato.
• Rifiutare una connessione endpoint privato. L'endpoint privato corrispondente viene aggiornato per riflettere lo stato.
• Eliminare una connessione a un endpoint privato in qualsiasi stato. L'endpoint privato corrispondente viene aggiornato con stato Disconnesso per riflettere l'azione. Il proprietario dell'endpoint privato può eliminare solo la risorsa a questo punto.

Connettersi usando un alias

Un alias è un moniker univoco generato quando un proprietario del servizio crea un servizio di collegamento privato in relazione a un servizio di bilanciamento del carico standard. I proprietari del servizio possono condividere questo alias offline con i consumer del servizio.

I consumer possono richiedere una connessione al servizio di collegamento privato con l'URI della risorsa o con l'alias. Per connettersi con l'alias, creare un endpoint privato usando il metodo di approvazione manuale della connessione. Per usare il metodo di approvazione manuale della connessione, impostare il parametro della richiesta manuale su True durante la creazione del flusso di endpoint privato. Per altre informazioni, vedere New-AzPrivateEndpoint e az network private-endpoint create.

Configurazione del DNS

Le impostazioni DNS usate per connettersi a una risorsa di collegamento privato sono importanti. I servizi di Azure esistenti potrebbero avere già una configurazione DNS che si possono usare per la connessione tramite un endpoint pubblico. Per connettersi allo stesso servizio tramite endpoint privato, sono necessarie impostazioni DNS distinte, spesso configurate tramite zone DNS private. Assicurarsi che le impostazioni DNS siano corrette quando si usa il nome di dominio completo (FQDN) per la connessione. Le impostazioni devono essere indirizzate all'indirizzo IP privato dell'endpoint privato.

L'interfaccia di rete associata all'endpoint privato contiene le informazioni obbligatorie per configurare il DNS. Le informazioni includono il nome di dominio completo e l'indirizzo IP privato per una risorsa di collegamento privato.

Per informazioni complete e dettagliate sulle raccomandazioni per configurare il DNS per gli endpoint privati, vedere Configurazione DNS dell'endpoint privato.

Limitazioni

Le informazioni seguenti elencano le limitazioni note per l'uso di endpoint privati:

Indirizzo IP statico

Gruppo di sicurezza di rete

Altre considerazioni sui gruppi di sicurezza di rete

• Il traffico in uscita negato da un endpoint privato non è uno scenario valido, perché il provider di servizi non può dare origine al traffico.

• I servizi seguenti possono richiedere l'apertura di tutte le porte di destinazione quando si usa un endpoint privato e si aggiungono filtri di sicurezza del gruppo di sicurezza di rete:

  • Azure Cosmos DB: per altre informazioni, vedere Intervalli di porte del servizio.

Route definita dall'utente

Gruppo di sicurezza dell'applicazione

Passaggi successivi

• Per altre informazioni sugli endpoint privati e su Collegamento privato, vedere Che cos'è Collegamento privato di Azure?.

• Per iniziare a creare un endpoint privato per un'app Web, vedere Avvio rapido: Creare un endpoint privato con il portale di Azure.