Einschränken des Import- und Exportzugriffs für verwaltete Datenträger mithilfe von Private Link

subscriptionId=yourSubscriptionId
resourceGroupName=yourResourceGroupName
region=northcentralus
diskAccessName=yourDiskAccessForPrivateLink
vnetName=yourVnetForPrivateLink
subnetName=yourSubnetForPrivateLink
privateEndpointName=yourPrivateEndpointForSecureMDExportImport
privateEndpointConnectionName=yourPrivateEndpointConnection
privateDnsZoneName=privatelink.blob.core.windows.net
privateDnsZoneLinkName=yourDnsLink
privateDnsZoneGroupName=yourZoneGroup

# The name of an existing disk that is the source of the snapshot.
sourceDiskName=yourSourceDiskForSnapshot

# The name of the new snapshot secured with Private Link.
snapshotNameSecuredWithPrivateLink=yourSnapshotNameSecuredWithPrivateLink

az login
az account set --subscription $subscriptionId

$subscriptionId = "yourSubscriptionId"
$resourceGroupName = "yourResourceGroupName"
$location = "NorthCentralUS"
$diskAccessName = "yourDiskAccessForPrivateLink"
$vnetName = "yourVnetForPrivateLink"
$subnetName = "yourSubnetForPrivateLink"
$privateEndpointName = "yourPrivateEndpointForSecureMDExportImport"
$privateEndpointConnectionName = "yourPrivateEndpointConnection"
$privateDnsZoneName = "privatelink.blob.core.windows.net"
$privateDnsZoneLinkName = "yourDnsLink"
$privateDnsZoneGroupName = "yourZoneGroup"

# The name of an existing disk that is the source of the snapshot.
$sourceDiskName = "yourSourceDiskForSnapshot"

# The name of the new snapshot secured with Private Link.
$snapshotNameSecuredWithPrivateLink = "yourSnapshotNameSecuredWithPrivateLink"

Connect-AzAccount
Set-AzContext -Subscription $subscriptionId

Verwenden Sie den Ressourcengruppen-, Regions- und Datenträgerzugriffsressourcennamen, den Sie zuvor definiert haben. Der Befehl "az disk-access create " erstellt die Datenträgerzugriffsressource. Anschließend wird die Ressourcen-ID von az disk-access show in $diskAccessId für spätere Schritte gespeichert.

az disk-access create -n $diskAccessName -g $resourceGroupName -l $region

diskAccessId=$(az disk-access show -n $diskAccessName -g $resourceGroupName --query [id] -o tsv)

Verwenden Sie den Ressourcengruppen-, Standort- und Datenträgerzugriffsressourcennamen, den Sie zuvor definiert haben. Das Cmdlet New-AzDiskAccess erstellt die Datenträgerzugriffsressource und speichert sie in $diskAccess. Der nächste Befehl speichert die Ressourcen-ID $diskAccessId für spätere Prozeduren.

$diskAccess = New-AzDiskAccess -ResourceGroupName $resourceGroupName -Name $diskAccessName -Location $location
$diskAccessId = $diskAccess.Id

Verwenden Sie die Zuvor definierten Ressourcengruppe, das virtuelle Netzwerk und die Subnetznamen. Der Befehl "az network vnet create " erstellt das virtuelle Netzwerk und das Subnetz. Anschließend deaktiviert az network vnet subnet update die Netzwerkrichtlinien für private Endpunkte im Subnetz.

az network vnet create --resource-group $resourceGroupName \
    --name $vnetName \
    --subnet-name $subnetName

az network vnet subnet update --resource-group $resourceGroupName \
    --name $subnetName \
    --vnet-name $vnetName \
    --private-endpoint-network-policies Disabled

Verwenden Sie die Zuvor definierten Ressourcengruppe, den Standort, das virtuelle Netzwerk und die Subnetznamen. Das Cmdlet New-AzVirtualNetworkSubnetConfig erstellt eine Subnetzkonfiguration mit deaktivierten Richtlinien für private Endpunktnetzwerke. Anschließend erstellt New-AzVirtualNetwork das virtuelle Netzwerk und subnetz und speichert das virtuelle Netzwerk in $vnet.

$subnetConfig = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.0.0/24" -PrivateEndpointNetworkPoliciesFlag "Disabled"

$vnet = New-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name $vnetName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnetConfig

Verwenden Sie die Ressourcengruppe, den privaten Endpunkt, das virtuelle Netzwerk, das Subnetz und die Zuvor definierten Verbindungsnamen. Dieses Verfahren verwendet auch $diskAccessId aus der Ressourcenprozedur für den Datenträgerzugriff. Der Befehl "az network private-endpoint create " erstellt einen privaten Endpunkt für die Datenträgerzugriffsressource.

az network private-endpoint create --resource-group $resourceGroupName \
    --name $privateEndpointName \
    --vnet-name $vnetName \
    --subnet $subnetName \
    --private-connection-resource-id $diskAccessId \
    --group-ids disks \
    --connection-name $privateEndpointConnectionName

Verwenden Sie die Zuvor definierten Ressourcengruppe, den Standort, den privaten Endpunkt, das Subnetz und die Verbindungsnamen. Dieses Verfahren verwendet $vnet und $diskAccessId aus den vorherigen Verfahren. Die Cmdlets rufen das Subnetz ab, erstellen eine Verbindung mit einem Private Link-Dienst zur Datenträgerzugriffsressource und erstellen dann den privaten Endpunkt.

$subnet = Get-AzVirtualNetworkSubnetConfig -Name $subnetName -VirtualNetwork $vnet

$privateLinkServiceConnection = New-AzPrivateLinkServiceConnection -Name $privateEndpointConnectionName -PrivateLinkServiceId $diskAccessId -GroupId "disks"

$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $resourceGroupName -Name $privateEndpointName -Location $location -Subnet $subnet -PrivateLinkServiceConnection $privateLinkServiceConnection

Verwenden Sie die Zuvor definierten Namen der Ressourcengruppe, der privaten DNS-Zone, der virtuellen Netzwerkverbindung, des privaten Endpunkts und der DNS-Zonengruppe. Mit den folgenden Befehlen wird die private DNS-Zone erstellt, mit dem virtuellen Netzwerk verknüpft und dem privaten Endpunkt zugeordnet.

az network private-dns zone create --resource-group $resourceGroupName \
    --name $privateDnsZoneName

az network private-dns link vnet create --resource-group $resourceGroupName \
    --zone-name $privateDnsZoneName \
    --name $privateDnsZoneLinkName \
    --virtual-network $vnetName \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
   --resource-group $resourceGroupName \
    --endpoint-name $privateEndpointName \
   --name $privateDnsZoneGroupName \
   --private-dns-zone $privateDnsZoneName \
   --zone-name disks

Verwenden Sie die Zuvor definierten Namen der Ressourcengruppe, der privaten DNS-Zone, der virtuellen Netzwerkverbindung, des privaten Endpunkts und der DNS-Zonengruppe. Die folgenden Cmdlets erstellen die private DNS-Zone, verknüpfen sie $vnetmit, konfigurieren die Zone und ordnen sie dem privaten Endpunkt zu.

$privateDnsZone = New-AzPrivateDnsZone -ResourceGroupName $resourceGroupName -Name $privateDnsZoneName

New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $resourceGroupName -ZoneName $privateDnsZoneName -Name $privateDnsZoneLinkName -VirtualNetworkId $vnet.Id

$privateDnsZoneConfig = New-AzPrivateDnsZoneConfig -Name $privateDnsZoneName -PrivateDnsZoneId $privateDnsZone.ResourceId

New-AzPrivateDnsZoneGroup -ResourceGroupName $resourceGroupName -PrivateEndpointName $privateEndpointName -Name $privateDnsZoneGroupName -PrivateDnsZoneConfig $privateDnsZoneConfig

Definieren Sie den Namen des verwalteten Datenträgers, die Speicher-SKU und die Größe für dieses Verfahren. Die Prozedur verwendet den Zuvor definierten Ressourcengruppen-, Regions- und Datenträgerzugriffsressourcennamen wieder. Der Befehl "az disk create " erstellt einen leeren verwalteten Datenträger, ordnet ihn der Datenträgerzugriffsressource zu und legt seine Netzwerkzugriffsrichtlinie auf AllowPrivate.

# These variables are specific to this step.
diskName=yourDiskName
diskSkuName=Standard_LRS
diskSizeGB=128

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az disk create -n $diskName \
    -g $resourceGroupName \
    -l $region \
    --size-gb $diskSizeGB \
    --sku $diskSkuName \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Definieren Sie den Namen des verwalteten Datenträgers, die Speicher-SKU und die Größe für dieses Verfahren. Die Prozedur verwendet die Ressourcengruppe, den Speicherort und die $diskAccessId-Werte erneut, die Sie zuvor definiert haben. Das Cmdlet New-AzDiskConfig erstellt eine Datenträgerkonfiguration, die AllowPrivate verwendet, und New-AzDisk erstellt den leeren verwalteten Datenträger.

$diskName = "yourDiskName"
$diskSkuName = "Standard_LRS"
$diskSizeGB = 128

$diskConfig = New-AzDiskConfig -Location $location -SkuName $diskSkuName -CreateOption Empty -DiskSizeGB $diskSizeGB -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzDisk -ResourceGroupName $resourceGroupName -DiskName $diskName -Disk $diskConfig

Verwenden Sie die vorhandenen Quelldatenträger, die neue Momentaufnahme, die Ressourcengruppe, die Region und die Ressourcennamen des Datenträgerzugriffs, die Sie zuvor definiert haben. Der Befehl "az disk show" ruft die Quelldatenträger-ID ab. Anschließend erstellt az snapshot create die Momentaufnahme, verknüpft sie mit der Datenträgerzugriffsressource und legt ihre Netzwerkzugriffsrichtlinie auf AllowPrivate fest.

# This step reuses variables defined in the first CLI sample.

diskId=$(az disk show -n $sourceDiskName -g $resourceGroupName --query [id] -o tsv)

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az snapshot create -n $snapshotNameSecuredWithPrivateLink \
    -g $resourceGroupName \
    -l $region \
    --source $diskId \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Verwenden Sie den vorhandenen Quelldatenträger, den neuen Snapshot, die Ressourcengruppe, den Speicherort und die Ressourcen-ID der Datenträgerzugriffsressource, die Sie zuvor definiert haben. Das Cmdlet "Get-AzDisk " ruft den Quelldatenträger ab. Anschließend erstellt New-AzSnapshotConfig eine Snapshotkonfiguration, die AllowPrivate verwendet, und New-AzSnapshot erstellt den Snapshot.

$sourceDisk = Get-AzDisk -ResourceGroupName $resourceGroupName -DiskName $sourceDiskName

$snapshotConfig = New-AzSnapshotConfig -Location $location -CreateOption Copy -SourceResourceId $sourceDisk.Id -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzSnapshot -ResourceGroupName $resourceGroupName -SnapshotName $snapshotNameSecuredWithPrivateLink -Snapshot $snapshotConfig