Voraussetzungen für Storage Mover Netzwerke

Azure Storage Mover ist ein Dienst, der die nahtlose Datenmigration zu Azure Storage-Konten erleichtert. Für Organisationen, die Sicherheit und Compliance priorisieren, stellt die Integration von Storage Mover in Azure Private Networking sicher, dass vertrauliche Daten und Anmeldeinformationen während des gesamten Migrationsprozesses geschützt bleiben.

Die Azure Storage Mover-Kommunikation erfolgt über HTTPS. Diese verschlüsselte Kommunikation macht Migrationen über das öffentliche Internet für viele Organisationen ausreichend sicher. Diese Organisationen benötigen z. B. keinen privaten Netzwerkzugriff auf ihr Speicherkonto und den Schlüsseltresor. Für Organisationen, die Sicherheit und Compliance priorisieren, stellt die Integration von Storage Mover in Azure Private Networking sicher, dass vertrauliche Daten und Anmeldeinformationen während des gesamten Migrationsprozesses geschützt bleiben. Diese Konfigurationen beginnen in der Regel mit der Erstellung eines virtuellen Azure-Netzwerks, das als Grundlage für sichere Konnektivität dient. Weitere Informationen zu virtuellen Azure-Netzwerken finden Sie unter Was ist ein virtuelles Azure-Netzwerk.

Um die lokale Infrastruktur mit Azure zu verknüpfen, müssen Organisationen die Hybridkonnektivität aktivieren. Diese Hybridverknüpfung kann mit einem Standort-zu-Standort-VPN über das Azure VPN-Gateway oder Azure ExpressRoute erstellt werden. Beide Optionen richten private Tunnel ein, die den sicheren Zugriff auf Azure-Ressourcen ermöglichen. Weitere Informationen zu Azure VPN-Gateway oder ExpressRoute finden Sie unter Was ist ein Azure VPN-Gateway oder Was ist Azure ExpressRoute?

Private Endpunkte spielen auch eine wichtige Rolle bei diesem Ansatz, sodass Dienste wie Azure Storage-Konten und Azure Key Vaults privat aufgerufen werden können. Diese Endpunkte befinden sich in einem Subnetz des virtuellen Netzwerks und erfordern DNS-Einträge (Domain Name System), um private IP-Adressen ordnungsgemäß aufzulösen. Während des Setups können Benutzer eine private DNS-Zone konfigurieren, um diese Einträge zu verwalten. Weitere Informationen zu privaten Endpunkten finden Sie unter "Was ist ein privater Azure-Endpunkt".

In diesem Artikel werden die wichtigsten Anforderungen und Konfigurationsschritte beschrieben, die zum Bereitstellen von Azure Storage Mover in einer privaten Netzwerkumgebung erforderlich sind.

Netzwerkübersicht

Wenn Azure Storage Mover in einer privaten Netzwerkumgebung bereitgestellt wird, müssen mehrere Komponenten konfiguriert werden, um einen sicheren und effizienten Betrieb sicherzustellen. Der Storage Mover-Agent, der die eigentlichen Datenmigrationsaufgaben ausführt, muss eine Verbindung mit verschiedenen Azure-Diensten herstellen. Einige dieser Dienste unterstützen private Endpunkte, während andere öffentliche Endpunkte benötigen.

Erforderliche Ports

Ein Speicher-Mover-Agent unterstützt SMB- und NFS-Clients. Die folgende Liste der Ports muss zwischen einer VM des Storage Mover-Agenten, einer Speicher-VM und einer Azure Fileshare freigeschaltet werden.

Erforderliche Dienste und Endpunkte

Die folgende Tabelle enthält eine Zusammenfassung der erforderlichen Dienste, deren Endpunkttypen und ob der private Zugriff unterstützt wird. Da Ihre Netzwerkeinstellungen dem Storage Mover-Agent erlauben müssen, eine Verbindung über HTTPS mit den Endpunkten des Diensts herzustellen, ist auch der vollqualifizierte Domänenname (Fully Qualified Domain Name, FQDN) enthalten.

In den folgenden Abschnitten werden die erforderlichen Komponenten, Abhängigkeiten öffentlicher Endpunkte und Netzwerküberlegungen für die Bereitstellung von Storage Mover in einem privaten Netzwerk beschrieben.

Anforderungen an private Netzwerke

Innerhalb der Storage Mover-Hierarchie ist eine Speicherverschiebungsressource die Dienstressource der obersten Ebene, die Sie in Ihrem Azure-Abonnement bereitstellen. Alle Aspekte des Diensts und Ihrer Migration werden von dieser Ressource gesteuert. Speicherverschiebungs-Agents führen jedoch die meisten Aufgaben der Migration aus. Storage Mover-Agents sind virtuelle Computer in Ihrem Netzwerk, die verwendet werden, um Migrationen durch durchführen der Datenübertragung zu erleichtern.

Um sicherzustellen, dass ein Storage Mover-Agent innerhalb eines privaten Netzwerks ausgeführt werden kann, muss er eine Verbindung mit mehreren Azure-Diensten herstellen. Einige dieser Dienste unterstützen private Endpunkte, während andere öffentliche Endpunkte benötigen.

Um sicherzustellen, dass ein Storage Mover-Agent eine private Verbindung mit Azure-Ressourcen herstellt, sind die folgenden Komponenten erforderlich:

• Virtuelles Azure-Netzwerk:
  Ein virtuelles Azure-Netzwerk ist ein isoliertes Netzwerk in Azure, das die Grundlage für private Konnektivität bietet. Es ermöglicht Ihnen, Subnetze zu definieren, Routing zu konfigurieren und Netzwerksicherheitsgruppen (NSGs) einzurichten, um den Datenverkehrsfluss zu steuern. Das virtuelle Netzwerk dient als Backbone für die sichere Verbindung Ihrer lokalen Infrastruktur mit Azure-Ressourcen.
• VPN-Gateway oder ExpressRoute:
  Sie können ein VPN-Gateway oder Azure ExpressRoute verwenden, um Ihr lokales Netzwerk mit Ihrem virtuellen Azure-Netzwerk zu verknüpfen. Ein VPN-Gateway wird für Standort-zu-Standort-VPN-Verbindungen zwischen Netzwerken verwendet, während ExpressRoute eine dedizierte private Verbindung bereitstellt. Beide Optionen ermöglichen eine sichere Kommunikation zwischen lokaler Infrastruktur und Azure-Ressourcen.
• Private Endpunkte:
  Azure Private Endpunkte sind Ressourcen, die Azure-Dienste mithilfe einer privaten IP aus Ihrem virtuellen Netzwerk sicher verbinden können. Sie können den Zugriff auf Clients in Ihrem virtuellen Netzwerk einschränken, indem Sie eine private Endpunktressource erstellen und sie einer anderen bereits vorhandenen Ressource zuweisen, z. B. einem Speicherkonto oder einem Key Vault.
• DNS-Konfiguration:
  Die richtige DNS-Konfiguration ist erforderlich, um die IP-Adressen privater Endpunkte Ihrer Ressourcenendpunkte aufzulösen. Da Sie während der Erstellung eines privaten Endpunkts eine private DNS-Zone erstellen und mit Ihrem virtuellen Netzwerk verknüpfen können, kann diese Konfiguration während des Setups durchgeführt werden.

Auf alle Dienste, die private Endpunkte unterstützen, kann auch als öffentliche Endpunkte zugegriffen werden, obwohl einige Ressourcen so konfiguriert werden können, dass öffentliche Verbindungen abgelehnt oder zugelassen werden.

Das folgende Diagramm veranschaulicht ein Beispiel für eine Ressourcentopologie zum Aktivieren der privaten Konnektivität mit allen Endpunkten, die sie unterstützen.

¹ Arc Private Link Scopes bieten Zugriff auf drei Arc-Dienste, wie in der Abbildung dargestellt. Der Dienst "Extensions Arc" wird nicht vom Storage Mover-Agent verwendet. Es erscheint im Bild abgeschwächt, um Verwirrung zu vermeiden.
² Arc Private Link Scopes und die drei Arc-Dienste, mit denen sie eine Verbindung herstellen, können beide direkt über öffentliche Endpunkte zugegriffen werden. Der Arc Private Link Scope kann so konfiguriert werden, dass der Zugriff auf öffentliche Netzwerke aktiviert oder deaktiviert wird.
³ Die empfohlene bewährte Methode besteht darin, mehrere virtuelle Azure-Netzwerke zu verwenden. Verwenden Sie das Azure VPN-Gateway, um eine Verbindung mit dem virtuellen Netzwerk "Hub" herzustellen. Verwenden Sie ein zweites virtuelles Netzwerk als „Spoke“, das durch Peering virtueller Netzwerke mit dem „Hub“ verbunden ist, um die Ressourcen zu verwalten. Ausführliche Anleitungen finden Sie unter Was ist eine Azure-Zielzone.

Abhängigkeiten öffentlicher Endpunkte

Trotz der Betonung auf private Netzwerke sind bestimmte erforderliche Storage Mover-Dienste nur über öffentliche Endpunkte zugänglich, wie im vorherigen Diagramm dargestellt. Auf diese Dienste kann über öffentliche Endpunkte sicher zugegriffen werden, indem ExpressRoute Microsoft Peering verwendet wird, der einen privaten Tunnel zu Azure-Diensten bereitstellt. Weitere Informationen finden Sie unter Microsoft Peering.

Auf die folgenden Endpunkte muss über öffentliche Endpunkte zugegriffen werden , damit der Storage Mover-Agent ordnungsgemäß funktioniert:

• Microsoft Artifact Registry für automatisierte Agent-Updates.
• Der Storage Mover-Dienst für Agent-Heartbeats und Auftragskoordination.
• Event Hubs zum Veröffentlichen von Kopierprotokollen.
• Azure AD/Microsoft Entra-ID für die Registrierung und Identitätsverwaltung.
• Azure Resource Manager für Registrierung und Ressourcenverwaltung.

Überlegungen zu Arc-fähigen Servern

Der Storage Mover-Agent ist ein Arc-fähigen Server und erfordert eine Verbindung mit mehreren Azure-Diensten. Da viele Arc-Dienste Azure Private Endpoint-Ressourcen nicht direkt unterstützen, müssen Sie ermitteln, ob Ihre Anforderungen die private Kommunikation mit Arc umfassen. Wenn ja, empfiehlt es sich, einen Azure Arc Private Link Scope zu konfigurieren.

Mit einem Bereich für private Verknüpfungen können Sie private Verbindungen verwalten, indem Sie den Datenfluss zwischen privaten Endpunkten und den Arc-Diensten erleichtern, die vom Storage Mover-Agent benötigt werden. Weitere Informationen zu Arc Private Link Scopes finden Sie unter Verwenden von Azure Private Link, um Server sicher mit Azure Arc zu verbinden.

Zusätzliche Überlegungen zum Netzwerk

Neben den Kernkomponenten gibt es Netzwerküberlegungen, die konfiguriert werden können, um die Sicherheit und Funktionalität des Storage Mover-Agents zu verbessern. Diese Konfigurationen sind jedoch optional, hängen von Ihren spezifischen Netzwerkanforderungen ab und wirken sich möglicherweise auf die Netzwerkleistung aus – insbesondere, wenn sie falsch konfiguriert sind.

Proxyunterstützung

Der Storage Mover-Agent unterstützt externe HTTP- und HTTPS-Proxys. Die Konfiguration erfolgt über die Shell des Agenten im Abschnitt Netzwerkkonfiguration im Menü Netzwerkkonfiguration aktualisieren. Wenn Sie dazu aufgefordert werden, wählen Sie "Proxy" aus, und geben Sie den vollqualifizierten Domänennamen (Fully Qualified Domain Name, FQDN) oder die IP-Adresse des Proxys ein. Schließen Sie die Portnummer bei Bedarf ein. Das folgende Beispiel veranschaulicht die Konfigurationsschritte:

SSL-Inspektion

Wenn Ihr Netzwerk SSL-Abfangen durchführt, kann der Agent geänderte Zertifikate möglicherweise nicht erkennen. Das Hinzufügen von benutzerdefinierten Zertifikaten zum Agent wird derzeit nicht unterstützt. Um Probleme zu vermeiden, fügen Sie erforderliche Endpunkte zur Freigabeliste hinzu, um die SSL-Inspektion zu umgehen. Diese Endpunkte sind im Abschnitt "Netzwerkübersicht " verfügbar.