Разрешение доступа к пространствам имен служебной шины Azure через частные конечные точки

Приватный канал Azure обеспечивает доступ к службам Azure (например, к Служебной шине Azure, службе хранилища Azure и Azure Cosmos DB), а также размещенным в Azure службам клиентов или партнеров через частную конечную точку в виртуальной сети.

Частная конечная точка — это сетевой интерфейс, который подключает вас к службе через Приватный канал Azure, обеспечивая конфиденциальность и безопасность. Частная конечная точка использует частный IP-адрес из виртуальной сети, по сути, перемещая службу в виртуальную сеть. Весь трафик к службе может маршрутизироваться через частную конечную точку, поэтому шлюзы, устройства преобразования сетевых адресов (NAT), подключения ExpressRoute и VPN, а также общедоступные IP-адреса не требуются. Трафик между виртуальной сетью и службой проходит через магистральную сеть Майкрософт. Это позволяет избежать рисков общедоступного Интернета. Вы можете подключиться к экземпляру ресурса Azure, обеспечивая наивысшую степень детализации в управлении доступом.

Дополнительные сведения см. в статье Что такое Приватный канал Azure.

Важные аспекты

• Эта функция поддерживается для Служебной шины Azure категории Премиум. Для получения дополнительных сведений о тарифе Premium см. статью Уровни обмена сообщениями в служебная шина: Premium и Standard.

• Реализация частных конечных точек может предотвратить взаимодействие других служб Azure со Служебной шиной. В качестве исключения можно разрешить доступ к ресурсам Служебной шины из определенных доверенных служб, даже если включены частные конечные точки. Список доверенных служб см. в разделе Доверенные службы.

  Следующие службы Майкрософт должны находиться в виртуальной сети:

  • Служба приложений Azure
  • Функции Azure

• Укажите как минимум одно правило IP-адреса или правило виртуальной сети для пространства имен, разрешающее трафик только с указанных IP-адресов или подсети виртуальной сети. Если правил IP-адресов и виртуальных сетей нет, доступ к пространству имен можно получить через общедоступный Интернет (используя ключ доступа).

Добавление частной конечной точки с помощью портала Azure

Предварительные условия

Чтобы интегрировать пространство имен службы шины с Приватный канал Azure, вам потребуются следующие сущности или разрешения:

• Пространство имен служебная шина.
• Виртуальная сеть Azure.
• Подсеть в виртуальной сети. Можно использовать подсеть, заданную по умолчанию.
• Разрешения владельца или участника для пространства имен Служебной шины и виртуальной сети.

Частная конечная точка и виртуальная сеть должны находиться в одном регионе. При выборе региона для частной конечной точки на портале он автоматически фильтрует только виртуальные сети в этом регионе. Пространство имен Служебной шины может находиться в другом регионе. Частная конечная точка использует частный IP-адрес в виртуальной сети.

Настройка закрытого доступа при создании пространства имен

При создании пространства имен можно разрешить доступ либо только общедоступный (из всех сетей), либо только приватный (только через частные конечные точки).

Если выбрать параметр приватного доступа на странице "Сеть " мастера создания пространства имен, на странице можно добавить частную конечную точку, нажав кнопку "Частная конечная точка ". Дополнительные инструкции по добавлению частной конечной точки см. в следующем разделе.

Настройка закрытого доступа для существующего пространства имен

Если у вас уже есть пространство имен, можно создать частную конечную точку, выполнив следующие действия.

1. Войдите на портал Azure.

2. В строке поиска введите служебная шина.

3. Выберите пространство имен из списка, к которому вы хотите добавить частную конечную точку.

4. В левом меню выберите опцию Сеть в разделе Параметры.

   Примечание.

   Вкладка Сеть отображается только для пространств имен Премиум.

5. На странице "Сеть" для доступа к общедоступной сети выберите "Отключено", если требуется доступ к пространству имен только через частные конечные точки.

6. Чтобы разрешить доверенным службы Майкрософт обойти этот брандмауэр, выберите "Да", если вы хотите разрешить доверенным службы Майкрософт обойти этот брандмауэр.

7. На панели инструментов щелкните Сохранить.

   

8. Чтобы разрешить доступ к пространству имен через частные конечные точки, выберите вкладку подключения к частной конечной точке в верхней части страницы.

9. Нажмите кнопку + Частная конечная точка в верхней части страницы.

   

10. На странице Базовые выполните следующие действия.

    1. Выберите подписку Azure, в которой нужно создать частную конечную точку.

    2. Выберите группу ресурсов для ресурса частной конечной точки.

    3. Укажите имя частной конечной точки.

    4. Введите имя сетевого интерфейса.

    5. Выберите регион частной конечной точки. Частная конечная точка должна находиться в том же регионе, что и виртуальная сеть, но может быть в другом регионе, отличном от региона ресурса частного канала, к которому вы подключаетесь.

    6. Нажмите кнопку Далее: ресурс> в нижней части страницы.

       

11. На странице Ресурс просмотрите параметры и нажмите кнопку Далее: виртуальная сеть в нижней части страницы.

    

12. На странице Виртуальная сеть выберите подсеть в виртуальной сети, в которой требуется развернуть частную конечную точку.

    1. Выберите виртуальную сеть. В раскрывающемся списке отображаются только виртуальные сети в выбранных сейчас подписке и расположении.
    2. Выберите подсеть в выбранной виртуальной сети.
    3. Обратите внимание, что политика сети для частных конечных точек отключена. Если вы хотите включить ее, выберите Редактировать, измените параметр и нажмите Сохранить.
    4. Для параметра Конфигурация частного IP-адреса по умолчанию выбран параметр Динамическое выделение IP-адреса. Если вы хотите назначить статический IP-адрес, выберите Статическое выделение IP-адреса*.
    5. Для группы безопасности приложений выберите существующую группу безопасности приложений или создайте группу, которая будет связана с частной конечной точкой.
    6. Нажмите кнопку Далее: DNS> внизу страницы.

    

13. На странице DNS выберите, следует ли интегрировать частную конечную точку с частной зоной DNS, а затем нажмите Далее: теги.

    

14. На странице Теги создайте теги (имена и значения), которые нужно связать с ресурсом частной конечной точки. В нижней части страницы нажмите на кнопку Проверка и создание.

15. На странице Проверка и создание проверьте все параметры и нажмите Создать, чтобы создать частную конечную точку.

    

16. Убедитесь, что частная конечная точка создана. Если вы являетесь владельцем ресурса, на странице «Сеть» пространства имен служебной шины подключение конечной точки должно быть утверждено автоматически. Если она находится в состоянии ожидания, см. раздел Управление частными конечными точками с помощью портала Azure.

    

Доверенные службы Майкрософт

При включении параметра Разрешить доверенным службам Майкрософт обходить этот параметр брандмауэра доступ к ресурсам служебной шины предоставляется следующим службам.

Ниже приведены другие доверенные службы для Служебная шина Azure:

• Анализатор данных Azure
• Службы Azure для работы с медицинскими данными
• Azure Arc
• Azure Kubernetes
• Машинное обучение Azure
• Microsoft Purview
• Microsoft Defender для облака
• Центр поставщика Azure

Чтобы разрешить доверенным службам доступ к пространству имен, перейдите на вкладку Общедоступный доступ на странице Сеть и выберите Да для Разрешить доверенным службам Microsoft обход этого брандмауэра?.

Добавление частной конечной точки с помощью PowerShell

В следующем примере показано, как использовать Azure PowerShell для создания подключения частной конечной точки к пространству имен служебная шина.

Частная конечная точка и виртуальная сеть должны находиться в одном регионе. Пространство имен Служебной шины может находиться в другом регионе. Частная конечная точка использует частный IP-адрес в виртуальной сети.

$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VNET LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"

# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation 

# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
                    -ResourceGroupName $rgName `
                    -Location $vnetlocation `
                    -Name $vnetName `
                    -AddressPrefix 10.0.0.0/16

# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
                    -Name $subnetName `
                    -AddressPrefix 10.0.0.0/24 `
                    -PrivateEndpointNetworkPoliciesFlag "Disabled" `
                    -VirtualNetwork $virtualNetwork

# update virtual network
$virtualNetwork | Set-AzVirtualNetwork

# create premium service bus namespace
$namespaceResource = New-AzResource -Location $namespaceLocation -ResourceName $namespaceName -ResourceGroupName $rgName -Sku @{name = "Premium"; capacity = 1} -Properties @{} -ResourceType "Microsoft.ServiceBus/namespaces" -

# create a private link service connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
                                -Name $peConnectionName `
                                -PrivateLinkServiceId $namespaceResource.ResourceId `
                                -GroupId "namespace"

# get subnet object that you will use in the next step                                
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName  $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
                                | Where-Object  {$_.Name -eq $subnetName}  
   
# now, create private endpoint   
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName  `
                                -Name $vnetName   `
                                -Location $vnetlocation `
                                -Subnet  $subnet   `
                                -PrivateLinkServiceConnection $privateEndpointConnection

(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties

Управление частными конечными точками с помощью портала Azure

При создании частной конечной точки подключение должно быть утверждено. Если ресурс, для которого создается частная конечная точка, находится в вашем каталоге, вы можете утвердить запрос на подключение, если у вас есть необходимые разрешения. При подключении к ресурсу Azure в другом каталоге необходимо дождаться, пока владелец этого ресурса утвердит запрос на подключение.

Существует четыре состояния конфигурирования.

Утверждение, отклонение или удаление подключения к частной конечной точке

1. Войдите на портал Azure.
2. В строке поиска введите служебная шина.
3. Выберите пространство имен для управления.
4. Перейдите на вкладку Сеть.
5. См. последующий соответствующий раздел в зависимости от операции, которую вы хотите: утвердить, отклонить или удалить.

Отклонение подключения к частной конечной точке

1. Если есть какие-либо подключения к частной конечной точке, которые вы хотите отклонить, будь то ожидающий запрос или существующее подключение, утвержденное ранее, выберите подключение конечной точки и нажмите кнопку "Отклонить ".

   

2. На странице Отклонить подключение по желанию можно ввести комментарий, после чего нажать Да. Если выбрать Нет, ничего не произойдет.

   

3. Вы увидите, что состояние подключения в списке изменилось на Отклонено.

   

Удаление подключения к частной конечной точке

1. Чтобы удалить подключение к частной конечной точке, выберите ее в списке и нажмите Удалить на панели инструментов.

   

2. На странице Удалить подключение нажмите Да, чтобы подтвердить удаление частной конечной точки. Если выбрать Нет, ничего не произойдет.

   

3. Вы увидите, что состояние изменилось на Отключено. Затем конечная точка исчезает из списка.

Утвердите подключение частной конечной точки

1. Если есть ожидающие подключения, вы увидите подключение со статусом Ожидание в состоянии подготовки.
2. Выберите частную конечную точку, которую вы хотите утвердить.
3. Нажмите кнопку "Утвердить " на панели инструментов.
4. На странице Утвердить подключение введите комментарий по желанию и нажмите Да. Если выбрать Нет, ничего не произойдет.
5. Вы увидите, что состояние подключения в списке изменилось на Утверждено.

Убедитесь, что подключение по частной ссылке работает

Убедитесь, что ресурсы в виртуальной сети частной конечной точки подключаются к пространству имен Служебной шины по частному IP-адресу и что они корректно интегрируются с частной зоной DNS.

Сначала создайте виртуальную машину, выполнив действия, описанные в статье Краткое руководство. Создание виртуальной машины Windows на портале Azure.

На вкладке Сеть выполните следующее.

1. Укажите виртуальную сеть и подсеть. Необходимо выбрать виртуальную сеть, в которой развернута частная конечная точка.
2. Укажите ресурс общедоступного IP-адреса.
3. В списке Группа безопасности сети сетевого адаптера выберите Нет.
4. В поле Балансировка нагрузки выберите Нет.

Подключитесь к виртуальной машине, откройте командную строку и выполните следующую команду:

nslookup <service-bus-namespace-name>.servicebus.windows.net

Вы должны увидеть результат, похожий на следующий.

Non-authoritative answer:
Name:    <service-bus-namespace-name>.privatelink.servicebus.windows.net
Address:  10.0.0.4 (private IP address associated with the private endpoint)
Aliases:  <service-bus-namespace-name>.servicebus.windows.net

Проблемы и ограничения разработки

• Сведения о ценах на службу "Приватный канал Azure" см. здесь.
• Эта возможность есть во всех общедоступных регионах Azure.
• Максимальное количество частных конечных точек на пространство имен служебной шины: 120.
• Трафик блокируется на уровне приложения, а не на уровне TCP. Таким образом, вы увидите, что tcp-подключения или nslookup операции успешно выполняются в общедоступной конечной точке, даже если общедоступный доступ отключен.

Подробнее см. в разделе Ограничения службы “Приватный канал Azure”.

Связанный контент

• Дополнительные сведения о службе Приватный канал Azure
• Дополнительные сведения о служебной шине Azure.