Общие сведения о тегах службы Azure для обеспечения безопасности виртуальной сети

Тег службы представляет группу префиксов IP-адресов из данной службы Azure. Корпорация Майкрософт управляет префиксами адресов, входящих в тег службы, и автоматически обновляет этот тег при изменении адресов, сводя к минимуму сложность частых обновлений правил сетевой безопасности.

Теги служб упрощают настройку безопасности сети в Azure:

• Устранение необходимости вручную отслеживать и обновлять IP-адреса для служб Azure
• Предоставление автоматических обновлений при изменении диапазонов IP-адресов службы Azure
• Снижение сложности управления правилами безопасности
• Включение детального контроля за сетевым трафиком к и из облачных служб Azure

Теги служб можно использовать для определения элементов управления доступом к сети в группах безопасности сети, брандмауэре Azure и определяемых пользователем маршрутах. Используйте теги служб вместо определенных IP-адресов при создании правил безопасности и маршрутов.

Как работают теги службы

При указании имени тега службы (например , ApiManagement) в соответствующем исходном или целевом поле правила безопасности можно разрешить или запретить трафик соответствующей службы. Тег службы автоматически включает все текущие и будущие диапазоны IP-адресов, используемые этой службой.

Трафик, предназначенный для любого из префиксов, покрываемых тегом службы, можно маршрутизировать на нужный следующий тип хопа. Укажите имя тега службы в префиксе адреса маршрута.

Распространенные варианты использования

Теги служб помогают вам:

• Обеспечение сетевой изоляции. Защита ресурсов Azure от общего Интернета при доступе к службам Azure с общедоступными конечными точками
• Упрощение правил безопасности. Создание правил без управления отдельными IP-адресами
• Убедитесь, что автоматическое обновление включено: актуализируйте диапазоны IP-адресов службы Azure без ручного вмешательства.

Например, можно создать правила группы безопасности сети для входящего и исходящего трафика, которые:

• Запрет трафика в Интернет или из Интернета
• Разрешить входящий и исходящий трафик для AzureCloud или других доступных тегов служб отдельных сервисов Azure.

Доступные теги служб

В следующей таблице перечислены все теги служб, доступные для использования в правилах группы безопасности сети .

Столбцы указывают, является ли тег:

• Подходит для правил, охватывающих входящий или исходящий трафик.
• Поддерживает региональную область.
• Используется в правилах брандмауэра Azure в качестве правила назначения только для входящего или исходящего трафика.

По умолчанию теги служб отражают диапазоны для всего облака. Некоторые теги служб также позволяют более детально контролировать, ограничив соответствующие диапазоны IP-адресов указанным регионом. Например, служебный тег Storage обозначает службу Azure Storage для всего облака, а Storage.WestUS ограничивает диапазон только диапазонами IP-адресов хранилища в регионе WestUS. В следующей таблице указывается, поддерживает ли каждый тег службы такую региональную область, а направление, указанное для каждого тега, является рекомендацией. Например, тег AzureCloud может использоваться для разрешения входящего трафика. В большинстве случаев мы не рекомендуем разрешать трафик со всех IP-адресов Azure, так как IP-адреса, используемые другими клиентами Azure, включаются в тег службы.

Теги, неподдерживаемые для определяемых пользователем маршрутов (UDR)

Следующий список тегов в настоящее время не поддерживается для использования с определяемыми пользователем маршрутами (UDR).

• AzurePlatformDNS
• AzurePlatformIMDS
• AzurePlatformLKM
• Виртуальная сеть
• Балансировщик нагрузки Azure
• Интернет

Служебные теги в локальной инфраструктуре

Вы можете получить текущие сведения о теге службы и диапазоне, чтобы включить их в конфигурации локального брандмауэра. Эта информация представляет собой текущий список диапазонов IP-адресов, соответствующих каждому тегу службы. Информацию следует получить программным способом или с помощью скачивания JSON-файла, как описано в следующих разделах.

Использование API обнаружения тегов службы

Вы можете программно получить текущий список тегов служб вместе с сведениями о диапазоне IP-адресов:

• ОТДЫХ
• Azure PowerShell
• Azure CLI

Например, чтобы получить все префиксы для тега службы хранилища, можно использовать следующие командлеты PowerShell:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Обнаружение тегов службы с помощью скачиваемых JSON-файлов

Вы можете скачать JSON-файлы, содержащие текущий список тегов служб, а также сведения о диапазоне IP-адресов. Эти списки обновляются и публикуются еженедельно. Расположения для каждого облака следующие...

• Общедоступная служба Azure
• Azure для государственных организаций США
• Microsoft Azure, управляемый 21Vianet
• Azure Германия

Диапазоны IP-адресов в этих файлах находятся в нотации CIDR.

Следующие теги AzureCloud не имеют региональных имен, отформатированных в соответствии с обычной схемой:

• AzureCloud.centralfrance (FranceCentral)
• AzureCloud.southfrance (FranceSouth)
• AzureCloud.germanywc (ГерманияWestCentral)
• AzureCloud.germanyn (GermanyNorth)
• AzureCloud.НорвегияВосток
• AzureCloud.норвегияв (НорвегияЗапад)
• AzureCloud.switzerlandn (ШвейцарияНорт)
• AzureCloud.switzerlandw (ШвейцарияЗапад)
• AzureCloud.usstagee (EastUSSTG)
• AzureCloud.usstagec (SouthCentralUSSTG)
• AzureCloud.бразилияюговосток (БразилияЮго-Восток)

Дальнейшие шаги

• Узнайте, как создать группу безопасности сети.