Was ist ein Azure-Standard-Service-Endpunkt?

Ein Standard-Service-Endpunkt ermöglicht es Ihnen, IaaS-Workloads sicher mit PaaS-Ressourcen zu verbinden, indem Sie Netzwerksicherheits-, Perimeter - und Netzwerkidentifikatoren (öffentliche IPs) verwenden. Diese Fähigkeit adressiert die Skalierungsbeschränkungen bei grundlegenden Service-Endpunkten und vereinfacht die Konfiguration für sicherere und effizientere Cloud-Umgebungen.

Important

Der Standard-Service-Endpunkt befindet sich derzeit in der Vorschau. Diese Vorschau wird ohne Vereinbarung zum Servicelevel bereitgestellt und ist nicht für Produktionsworkloads vorgesehen. Manche Features werden möglicherweise nicht unterstützt oder sind nur eingeschränkt verwendbar. Weitere Informationen finden Sie unter Zusätzliche Nutzungsbedingungen für Microsoft Azure-Vorschauversionen.

Wie ein Standard-Service-Endpunkt funktioniert

Ein Standard-Service-Endpunkt führt das Konzept einer Netzwerk-Identifikatorin ein – eine öffentliche IP-Adresse, die Sie mit Service-Endpunkten in Ihren Subnetzen verknüpfen. Die öffentliche IP-Adresse wird nur zur Identifikation des Datenverkehrs verwendet, der direkt mit dem virtuellen Netzwerk zum Dienst verbunden ist.

Um einen Standard-Service-Endpunkt zu konfigurieren, erstellst du eine öffentliche IP-Adresse, verknüpfst sie als Netzwerkkennung mit Service-Endpunkten in deinen Subnetzen, sicherst deine PaaS-Ressourcen innerhalb eines Netzwerksicherheitsperimeters und fügst IP-basierte eingehende Zugriffsregeln hinzu, die mit der Netzwerkkennung übereinstimmen. Die Netzwerkkennung identifiziert den Datenverkehr aus Ihren Subnetzen und der Netzwerksicherheitsperimeter autorisiert ihn. Man kann allen Subnetzen in einer Region und dem Abonnement dieselbe öffentliche IP-Adresse zuweisen, was die Anzahl der erforderlichen ACL-Einträge im Vergleich zu Basic-Service-Endpunkten drastisch reduziert. Ein einzelner Netzwerkbezeichner kann viele VNets und Subnetze darstellen.

Diagramm der virtuellen Netzwerke über zwei Abonnements hinweg, die auf ihren Service-Endpunkten eine einzige öffentliche IP-Netzwerkkennung teilen, die ein Netzwerksicherheitsperimeter eingehenden Azure PaaS-Ressourcen in einem Kundenmieter ermöglicht.

Für Schritt-für-Schritt-Implementierungsanweisungen siehe:

Unterstützte Dienste

Service-Endpunkte mit Netzwerkidentifikatoren sind für die folgenden Azure-Dienste verfügbar. Die Microsoft.*-Ressource ist in Klammern angegeben. Aktivieren Sie diese Ressource von der Subnetzseite, während Sie einen Standard-Service-Endpunkt konfigurieren:

Service Ressourcenanbieter Verfügbarkeit
Azure Storage Microsoft.Storage Allgemein verfügbar in allen Azure-Regionen
Azure Key Vault Microsoft.KeyVault Allgemein verfügbar in allen Azure-Regionen
Azure SQL-Datenbank Microsoft.Sql Allgemein verfügbar in allen Azure-Regionen
Azure Cosmos DB Microsoft. AzureCosmosDB Allgemein verfügbar in allen Azure-Regionen

Hauptvorteile

Ein Standard-Service-Endpunkt bietet folgende Vorteile:

  • Vereinfachte Konfiguration mit geringerem Verwaltungsaufwand: Verknüpfen Sie eine einzelne öffentliche IP als Netzwerkkennung über mehrere Subnetze und VNets. Änderungen im Subnetz-Lebenszyklus erfordern keine Aktualisierung der dienstseitigen Zugriffsregeln.

  • Verbesserte Skalierung und Zuverlässigkeit: Überwindet traditionelle Skalierbarkeitsgrenzen von Service-Endpunkten und ermöglicht Tausende von Verbindungen, ohne Ressourcenanbieter-Drosselungen zu treffen.

  • Integration von Netzwerksicherheitsperimetern: Durchsetzung perimeterbasierter Sicherheit für PaaS-Ressourcen mithilfe des Netzwerksicherheitsperimeters. Zentralisieren Sie die Zugriffskontrolle mithilfe von Netzwerksicherheitsperimeterregeln, anstatt die Ressourcen-ACLs pro Ressource zu verwalten.

  • Netzwerk-Identifier-Unterstützung: Verknüpfen Sie öffentliche IPs mit Subnetzen für flexible Multi-Abonnement-Konnektivität. Die gleiche öffentliche IP kann über mehrere VNets und Abonnements innerhalb desselben Tenants wiederverwendet werden.

  • Cross-Subscription-Unterstützung: Verwenden Sie öffentliche IPs als Netzwerkkennungen über Abonnements innerhalb desselben Clients und derselben Region während der Vorschau wieder.

Vergleichen Sie Konnektivitätsoptionen

Die folgende Tabelle vergleicht Basic Service Endpoints, Standard Service Endpoints und Azure Private Link:

Fähigkeit Grundlegendes Service-Endpunkt Standard-Service-Endpunkt Azure Private Link
Private Konnektivität (kein öffentlicher Endpunkt verfügbar) Nicht unterstützt Nicht unterstützt Supported
On-Premises-Konnektivität (Verkehr privat routen) Nicht unterstützt Nicht unterstützt Supported
Schutz vor Datenexfiltration Nicht unterstützt Nicht unterstützt Supported
Einfache Einrichtung (DNS, Endpunkt-Erstellung, Genehmigung) Simple Simple Complex
Skalierbare Lösung Nicht unterstützt Supported Supported
Dienstverfügbarkeit Begrenzt (ca. 10 Dienste) Begrenzt (4 Dienste) Broad (70+ Dienste)
Preise Kostenlos Paid Paid

Einschränkungen

  • Endpunkte sind für Subnetze aktiviert, die in virtuellen Azure-Netzwerken konfiguriert sind. Endpunkte können nicht für Datenverkehr von Ihren lokalen Diensten an Azure-Dienste verwendet werden. Weitere Informationen finden Sie unter Secure Azure Service Access from On-premises.

  • Alle Service-Endpunkte in einem Subnetz müssen auf dieselbe Netzwerkkennung verweisen, andernfalls schlägt die Operation fehl.

  • Ressourcenwiederverwendbarkeit: Die Vorschau unterstützt die Wiederverwendung öffentlicher IPs als Netzwerkkennzeichen über Abonnements innerhalb desselben Mandanten und derselben Region. Cross-Tenant- und Cross-Region-Sharing werden nicht unterstützt. Öffentliche IP-Präfixe können in anderen Bereitstellungsszenarien verwendet werden, wie zum Beispiel NAT Gateway oder Load Balancer.

  • PaaS-Ressourcenzugriffskontrollen: Der Netzwerksicherheitsperimeter ermöglicht eingeschränkten öffentlichen Zugriff auf PaaS-Ressourcen durch IP-basierte Regeln mit öffentlichen IP-Präfixen oder -Instanzen. Bis zu 200 Präfixe und 1.000 PaaS-Ressourcen pro Netzwerksicherheitsperimeter werden unterstützt.

Verfügbarkeit von Funktionen

Die Funktion ist derzeit in Public Cloud und den folgenden nationalen Clouds verfügbar: Mooncake, Fairfax, UsSec und UsNAT. Bleu, Delos und GovSG sind für die Vorschau nicht aktiviert.

Pricing

Standard Service Endpoint ist ab Juli 2026 kostenlos verfügbar. Die Abrechnung soll nach der Preview-Ankündigung beginnen, die derzeit für August 2026 geplant ist.

Best Practices für Netzwerksicherheitsperimeter

Wenn Sie einen Standard-Service-Endpunkt mit Netzwerksicherheitsperimeter verwenden, befolgen Sie diese Best Practices:

  • Skalierungsplanung: Weisen Sie Ihre Umgebungsskala auf die Netzwerksicherheitsgrenzen zu. Bis zu 100 Netzwerksicherheitsperimeter pro Abonnement, 200 Profile pro Netzwerksicherheitsperimeter und 1.000 PaaS-Ressourcen pro Netzwerksicherheitsperimeter werden unterstützt.

  • Ressourcengruppierung: Für große Umgebungen sollten Ressourcen über mehrere Netzwerksicherheitsgrenzen verteilt werden, um innerhalb der unterstützten Grenzen zu bleiben. Berücksichtigen Sie bei der Gruppierung von Ressourcen die Netzwerkarchitektur und Isolationsbedürfnisse.

  • Profilgestaltung: Gruppiere Ressourcen mit ähnlichen Zugriffsanforderungen in Profile. Definieren Sie klare Isolationsgrenzen basierend auf organisatorischen Bedürfnissen, wie zum Beispiel die Trennung von Entwicklungs-/Produktionsumgebungen oder Anwendungsteams.

  • Regelkonfiguration: Der Netzwerksicherheitsperimeter unterstützt nur Erlaubnisregeln, nicht Ablehnungsregeln. Jeder Zugriff muss ausdrücklich durch konfigurierte Regeln erlaubt sein.

  • Überprüfung der Datenverkehrsmuster: Überprüfen und verifizieren Sie alle Datenverkehrsmuster am Netzwerk-Sicherheitsperimeter, bevor Sie Ressourcen in den erzwungenen Modus versetzen. Verwenden Sie Netzwerksicherheitsperimeter-Diagnoseprotokolle, um zu bestätigen, dass der gesamte Datenverkehr gemäß den Netzwerksicherheitsperimeterzugriffsregeln genehmigt ist. Überwachen Sie ein bis zwei Wochen, um sicherzustellen, dass alle Zugangsmuster abgedeckt sind.

  • Abonnementübergreifende und regionale Unterstützung: Network Security Perimeter unterstützt Ressourcen über verschiedene Abonnements und Regionen hinweg und ermöglicht flexible Gruppierung und Verwaltung.

Weitere Informationen finden Sie unter Was ist ein Netzwerksicherheitsperimeter?

Häufig gestellte Fragen

Kann ich dieselbe öffentliche IP über mehrere VNets hinweg verwenden?

Yes. Dieselbe öffentliche IP kann von mehreren VNets für Service-Endpunkte referenziert werden.

Kann ich dieselbe öffentliche IP über Abonnements hinweg verwenden?

Yes. Cross-Subscription-Unterstützung ist während der Vorschau innerhalb desselben Tenants verfügbar.

Welche Berechtigungen sind erforderlich, um diese Funktion zu konfigurieren?

Du brauchst die Position Netzwerk-Mitwirkender oder höher. Konkret brauchst du die Erlaubnis Microsoft.Network/publicIPAddresses/joinServiceEndpointNetworkIdentifier/action . Weitere Informationen zu Berechtigungen für den Netzwerksicherheitsperimeter finden Sie unter Anforderungen an die rollenbasierte Zugriffssteuerung für den Netzwerksicherheitsperimeter.

Können überlappende IP-Bereiche in verschiedenen Mandanten als Netzwerkidentifikatoren verwendet werden?

No. Öffentliche IPs müssen pro Region einzigartig sein und dürfen sich nicht überschneiden.

Unterbricht das Hinzufügen oder Ändern einer Netzwerkkennung aktive Verbindungen?

Yes. Aktive Flows werden zurückgesetzt, wenn Sie eine Netzwerkkennung zu einem bestehenden Serviceendpunkt hinzufügen oder ändern, ähnlich wie beim Upgrade von Nicht-Serviceendpunkten zu Serviceendpunkten. Plane diese Änderung nach Möglichkeit für Wartungsfenster ein.

Kann ich eine öffentliche IP-Adresse über Abonnements und Tenants hinweg wiederverwenden?

Abonnementübergreifendes Teilen wird innerhalb desselben Tenants unterstützt. Cross-Tenant Sharing wird nicht unterstützt.

Wird es unterstützt, ein VNet in einer Region und eine PaaS-Ressource in einer anderen Region zu haben?

Ja, diese Konfiguration wird für Azure Cosmos DB, Azure Key Vault und Azure Storage unterstützt. Für die Azure SQL-Datenbank ist regionsübergreifende Unterstützung während der Vorschau nicht verfügbar.

Nächste Schritte

  • Last updated on