Разрешить доступ к пространствам имен Центров событий Azure из определенных IP-адресов или диапазонов

По умолчанию пользователи могут получать доступ к пространствам имен Event Hubs из Интернета при условии, что запрос сопровождается допустимой проверкой подлинности и авторизацией. С помощью IP-брандмауэра можно ограничить доступ только к набору адресов IPv4 и IPv6 или диапазонов адресов в нотации CIDR (бесклассовая междоменная маршрутизация).

Эта функция полезна в сценариях, когда Центры событий Azure должны быть доступны только из некоторых известных сайтов. Правила брандмауэра позволяют настроить правила для приема трафика, исходящего из определенных адресов IPv4 и IPv6. Например, если вы используете Центры событий с Azure Express Route, можно создать правило брандмауэра , чтобы разрешить трафик только из IP-адресов локальной инфраструктуры.

Правила брандмауэра для IP-адресов

Правила IP-брандмауэра указываются на уровне пространства имен Event Hubs. Правила применяются ко всем подключениям от клиентов с помощью любого поддерживаемого протокола. Пространство имен Центров событий отклоняет любую попытку подключения из IP-адреса, который не соответствует допустимому правилу IP как несанкционированный. В ответе клиенту не упоминается правило для IP-адресов. Правила брандмауэра IP применяются в порядке, а первое правило, соответствующее IP-адресу, определяет действие принятия или отклонения.

Важные аспекты

• Эта функция не поддерживается на базовом уровне.
• Если включить правила брандмауэра для пространства имен Центров событий, брандмауэр блокирует входящие запросы по умолчанию, если только запросы не исходят из службы, работающей с разрешенных общедоступных IP-адресов. Заблокированные запросы включают запросы из других служб Azure, на портале Azure, от служб ведения журнала и метрик и т. д. В качестве исключения можно разрешить доступ к ресурсам Центров событий из определенных доверенных служб , даже если включена фильтрация IP-адресов. Список доверенных служб см. в разделе "Доверенные службы Майкрософт".
• Укажите как минимум одно правило брандмауэра для IP-адресов или правило виртуальной сети для пространства имен, разрешающее трафик только с указанных IP-адресов или подсети виртуальной сети. Если правила IP-адресов и виртуальной сети отсутствуют, пользователи могут получить доступ к пространству имен через общедоступный Интернет (с помощью ключа доступа).

Настройка правил брандмауэра с помощью портала Azure

При создании пространства имен можно разрешить доступ только к пространству имен только общедоступного (из всех сетей) или только приватного (только через частные конечные точки). После создания пространства имен можно разрешить доступ из определенных IP-адресов или из определенных виртуальных сетей (с помощью конечных точек сетевой службы).

Настройка общедоступного доступа при создании пространства имен

Чтобы включить общедоступный доступ, выберите общедоступный доступ на странице "Сеть " мастера создания пространства имен.

После создания пространства имен выберите Сеть в меню слева на странице пространства имен Event Hubs.

По умолчанию доступ к общедоступной сети включен для пространства имен для всех сетей.

Этот параметр обеспечивает общедоступный доступ из всех сетей с помощью ключа доступа. Пространство имен принимает подключения из любого IP-адреса (с помощью ключа доступа).

В следующем разделе приведены сведения о настройке правил брандмауэра IP для указания IP-адресов, из которых разрешен доступ.

Настройка брандмауэра IP для существующего пространства имен

В этом разделе показано, как использовать портал Azure для создания правил брандмауэра IP-адресов для пространства имен Центров событий.

1. Перейдите к пространству имен Центров событий на портале Azure.

2. Выберите "Сеть" в разделе "Параметры " в меню слева.

3. На странице "Сеть" выберите "Управление " в разделе "Доступ к общедоступной сети".

   

4. На странице доступа к общедоступной сети в разделе "Действие по умолчанию " выберите "Включить" из выбранных сетей , чтобы разрешить доступ только с указанных IP-адресов.

   

   Important

   Если выбрать выбранные сети, добавьте по крайней мере одно правило брандмауэра IP-адресов или виртуальную сеть с доступом к пространству имен. Выберите "Отключено" , если вы хотите ограничить весь трафик в это пространство имен только через частные конечные точки .

5. В разделе IP-адресов выберите "Добавить IP-адрес клиента ", чтобы предоставить текущий IP-адрес клиента доступ к пространству имен.

6. Для диапазона адресов введите определенные адреса IPv4 или IPv6 или диапазоны адресов в нотации CIDR.

   Important

   Рекомендуем добавить IPv6-адреса в список разрешенных IP-адресов сейчас, чтобы ваши клиентские устройства не переставали работать, когда служба переключится на поддержку только IPv6.

7. В разделе "Исключение " укажите, следует ли разрешить доверенным службам Майкрософт доступ к этому ресурсу. Дополнительные сведения см. в доверенных службах Майкрософт .

   

8. На панели инструментов нажмите Сохранить, чтобы сохранить параметры. Подождите несколько минут, чтобы в уведомлениях портала появилось подтверждение.

   Note

   Чтобы ограничить доступ к определенным виртуальным сетям, см. раздел Разрешение доступа из определенных сетей.

Доверенные службы Майкрософт

При включении параметра Разрешить доверенным службам Майкрософт обходить этот параметр брандмауэра доступ к ресурсам Центров событий предоставляется следующим службам в пределах одного арендатора.

Ниже приведены другие доверенные службы для Центры событий Azure:

• Azure Arc
• Azure Kubernetes
• Машинное обучение Azure
• Microsoft Purview

Настройка правил брандмауэра с помощью шаблонов Resource Manager

Следующий шаблон Resource Manager позволяет добавить правило фильтрации IP-адресов в существующее пространство имен Центров событий.

IpMask в шаблоне — это один IPv4-адрес или блок IP-адресов в нотации CIDR. Например, значение 70.37.104.0/24 в нотации CIDR представляет 256 IPv4-адресов в диапазоне от 70.37.104.0 до 70.37.104.255. Число 24 обозначает количество значимых битов префикса для адресов этого диапазона.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "namespace_name": {
            "defaultValue": "contosoehub1333",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.EventHub/namespaces",
            "apiVersion": "2022-01-01-preview",
            "name": "[parameters('namespace_name')]",
            "location": "East US",
            "sku": {
                "name": "Standard",
                "tier": "Standard",
                "capacity": 1
            },
            "properties": {
                "minimumTlsVersion": "1.2",
                "publicNetworkAccess": "Enabled",
                "disableLocalAuth": false,
                "zoneRedundant": true,
                "isAutoInflateEnabled": false,
                "maximumThroughputUnits": 0,
                "kafkaEnabled": true
            }
        },
        {
            "type": "Microsoft.EventHub/namespaces/authorizationrules",
            "apiVersion": "2022-01-01-preview",
            "name": "[concat(parameters('namespace_name'), '/RootManageSharedAccessKey')]",
            "location": "eastus",
            "dependsOn": [
                "[resourceId('Microsoft.EventHub/namespaces', parameters('namespace_name'))]"
            ],
            "properties": {
                "rights": [
                    "Listen",
                    "Manage",
                    "Send"
                ]
            }
        },
        {
            "type": "Microsoft.EventHub/namespaces/networkRuleSets",
            "apiVersion": "2022-01-01-preview",
            "name": "[concat(parameters('namespace_name'), '/default')]",
            "location": "East US",
            "dependsOn": [
                "[resourceId('Microsoft.EventHub/namespaces', parameters('namespace_name'))]"
            ],
            "properties": {
                "publicNetworkAccess": "Enabled",
                "defaultAction": "Deny",
                "virtualNetworkRules": [],
                "ipRules": [
                    {
                        "ipMask": "10.1.1.1",
                        "action": "Allow"
                    },
                    {
                        "ipMask": "11.0.0.0/24",
                        "action": "Allow"
                    },
                    {
                        "ipMask": "172.72.157.204",
                        "action": "Allow"
                    }
                ]
            }
        }
    ]
}

Инструкции по развертыванию шаблона см. в статье Развертывание ресурсов с помощью шаблонов ARM и Azure PowerShell.

Настройка правил брандмауэра с помощью Azure CLI

Используйте команды az eventhubs namespace network-rule-set добавления, перечисления, обновления и удаления для управления IP-брандмауэрными правилами в пространстве имен Event Hubs.

Настройка правил брандмауэра с помощью Azure PowerShell

Используйте командлет Set-AzEventHubNetworkRuleSet для добавления одного или нескольких правил брандмауэра IP. Пример из статьи:

$ipRule1 = New-AzEventHubIPRuleConfig -IPMask 2.2.2.2 -Action Allow
$ipRule2 = New-AzEventHubIPRuleConfig -IPMask 3.3.3.3 -Action Allow
$virtualNetworkRule1 = New-AzEventHubVirtualNetworkRuleConfig -SubnetId '/subscriptions/subscriptionId/resourcegroups/myResourceGroup/providers/Microsoft.Network/virtualNetworks/myVirtualNetwork/subnets/default'
$networkRuleSet = Get-AzEventHubNetworkRuleSet -ResourceGroupName myResourceGroup -NamespaceName myNamespace
$networkRuleSet.IPRule += $ipRule1
$networkRuleSet.IPRule += $ipRule2
$networkRuleSet.VirtualNetworkRule += $virtualNetworkRule1
Set-AzEventHubNetworkRuleSet -ResourceGroupName myResourceGroup -NamespaceName myNamespace -IPRule $ipRule1,$ipRule2 -VirtualNetworkRule $virtualNetworkRule1,$virtualNetworkRule2,$virtualNetworkRule3

Действие по умолчанию и доступ к общедоступной сети

REST API

Для версий API 2021-01-01-preview и более ранних версий значение свойства по умолчанию — defaultAction. Однако служба не применяет правило запрета, если только не заданы фильтры IP-адресов или правила виртуальной сети. Если вы не задаете какие-либо фильтры IP-адресов или правила виртуальной сети, служба обрабатывает действие по умолчанию как Allow.

Начиная с API версии 2021-06-01-preview, значение свойства defaultAction по умолчанию — Allow, что точно отражает принудительное применение на стороне службы. Если задано действие Denyпо умолчанию, служба применяет фильтры IP и правила виртуальной сети. Если задано действие Allowпо умолчанию, служба не применяет фильтры IP и правила виртуальной сети. Служба запоминает правила, когда вы отключаете их и снова включаете.

API версии 2021-06-01-preview и далее также вводит новое свойство под названием publicNetworkAccess. Если для этого свойства задано значение Disabled, операции ограничены только частными ссылками. Если оно Enabledзадано, операции разрешены через общедоступный Интернет.

Дополнительные сведения об этих свойствах см. в статье "Создание или обновление набора правил сети " и "Создание или обновление подключений к частной конечной точке".

Azure portal

Портал Azure всегда использует последнюю версию API для получения и задания свойств. Если вы настроили пространство имен, используя версии 2021-01-01-preview и более ранние с набором defaultActionDeny, и вы указали нулевые IP-фильтры и правила виртуальной сети, портал ранее отмечал Выбранные сети на странице Сеть вашего пространства имен. Теперь он проверяет параметр "Все сети ".

Дальнейшие шаги

Чтобы ограничить доступ к центрам событий в виртуальных сетях Azure, ознакомьтесь со следующей статьей:

• Конечные точки службы виртуальной сети для центров событий