Utiliser des points de terminaison privés avec Azure Maps (préversion)

Azure Maps prend en charge Azure Private Link, ce qui permet un accès sécurisé aux services Azure Maps via un point de terminaison privé dans votre réseau virtuel. Un point de terminaison privé affecte une adresse IP privée de votre réseau virtuel au service Azure Maps, de sorte que le trafic entre vos applications et Azure Maps reste sur le réseau principal Microsoft au lieu de l’Internet public. Cela offre une sécurité et une isolation réseau améliorées. Vous pouvez créer un point de terminaison privé lorsque vous créez un compte Azure Maps ou ajoutez-en un à un compte existant.

Avantages des points de terminaison privés pour Azure Maps

Les points de terminaison privés offrent les avantages suivants pour les comptes Azure Maps :

• Aucune exposition à l’Internet public : Vous pouvez isoler votre compte Azure Maps de l’Internet public pour réduire l’exposition aux menaces externes. Seuls les clients au sein de votre réseau privé peuvent accéder au compte. Pour ce faire, bloquez l’accès externe via la fonctionnalité publicNetworkAccess .
• Sécuriser la communication de réseau virtuel : Les ressources de votre réseau virtuel (telles que les machines virtuelles et les conteneurs) communiquent avec Azure Maps à l’aide d’adresses IP privées. Le trafic reste au sein du réseau virtuel, ce qui simplifie la sécurité réseau et évite les réseaux publics, ce qui permet de répondre aux exigences de sécurité et de conformité internes.

Prerequisites

Si vous n’avez pas d’abonnement Azure, créez un compte gratuit avant de commencer.

• Un compte Azure Maps. Utilisez un compte Maps et un réseau virtuel dans la même région Azure pour des performances optimales.
• Un réseau virtuel et un sous-réseau : un réseau virtuel et un sous-réseau dans votre abonnement Azure pour le point de terminaison privé. Le sous-réseau doit avoir des adresses IP disponibles.
• Autorisations requises
  • Pour créer un point de terminaison privé qui est automatiquement approuvé, vous avez besoin des éléments suivants :
    • Contributeur Azure Maps sur le compte Azure Maps
    • Contributeur réseau sur le réseau virtuel
  • Pour créer un point de terminaison privé qui nécessite une approbation manuelle, seul le rôle Contributeur réseau est requis.
• Indiquez si Azure gère automatiquement DNS pour le point de terminaison privé à l’aide d’Azure Private DNS ou gérez DNS manuellement. Dans la plupart des cas, Azure Private DNS fournit la configuration la plus simple.

Configurer un point de terminaison privé pour Azure Maps

Pour activer la connectivité privée pour un compte Azure Maps, créez un point de terminaison privé et configurez DNS pour router le trafic via votre réseau virtuel.

1. Créer le point de terminaison privé (portail ou CLI)

Dans le portail Azure, accédez à Créer une ressource et recherchez un point de terminaison privé. Vous pouvez également créer un point de terminaison privé à partir de la section Mise en réseau de votre ressource Azure Maps. Sélectionnez Créer pour ouvrir l’Assistant.

• Bases: Sélectionnez l’abonnement et le groupe de ressources appropriés pour la ressource de point de terminaison, puis choisissez un nom et une région (utilisez la même région que votre réseau virtuel).
• Ressource: Pour la méthode Connexion, choisissez Se connecter à une ressource Azure dans mon annuaire. Ensuite, définissez :
  • Type = Microsoft.Maps/accounts de ressource. Cela indique à Azure qu’une liaison privée doit être liée à un compte Azure Maps.
  • Ressource = Nom de votre compte Azure Maps. Choisir le compte Azure Maps spécifique
  • Sous-ressource = mapsAccount cible. Azure Maps dispose d’une sous-ressource de liaison privée unique représentant le plan de données du compte.
• Configuration: Sélectionnez le réseau virtuel et le sous-réseau où le point de terminaison privé est placé. Vérifiez que le sous-réseau dispose d’un espace pour une adresse IP. Laissez l’intégration DNS privée activée, sauf si vous envisagez de configurer DNS manuellement. Avec l’intégration DNS activée, Azure crée une zone DNS privée pour privatelink.account.maps.azure.com et ajoute automatiquement l’enregistrement DNS nécessaire.

Une fois la création terminée, accédez à votre compte Azure Maps dans le portail, puis sélectionnez Réseau > Connexions aux points de terminaison privés. Vous devriez voir une nouvelle connexion dans la liste. Si le créateur de point de terminaison privé possède ou dispose des autorisations appropriées sur le compte Azure Maps, la connexion est généralement approuvée automatiquement (l’état indique « Approuvé »). S’il affiche « En attente », l’approbation manuelle peut être requise. Après approbation, la liaison privée est établie.

Exemple : utilisation d’Azure CLI

La commande Azure CLI suivante crée un point de terminaison privé pour un compte Azure Maps, équivalent aux étapes du portail ci-dessus :

az network private-endpoint create \
  --name <MyPrivateEndpointName> \
  --resource-group <MyResourceGroup> \
  --vnet-name <MyVNetName> \
  --subnet <MySubnetName> \
  --private-connection-resource-id "/subscriptions/<SubscriptionID>/resourceGroups/<MyResourceGroup>/providers/Microsoft.Maps/accounts/<MyMapsAccountName>" \
  --group-id mapsAccount \
  --connection-name <MyConnectionName>

Cette commande spécifie l’ID de ressource du compte Maps et la mapsAccount sous-ressource, ainsi que le réseau virtuel et le sous-réseau utilisés pour le point de terminaison privé.

2. Configurer DNS pour le point de terminaison privé

Si vous avez activé l’intégration dns privé lors de la création du point de terminaison privé (par défaut), Azure crée automatiquement une zone DNS privée pour privatelink.account.maps.azure.com votre abonnement et le lie à votre réseau virtuel.

Dans cette zone, un enregistrement DNS mappe l’ID et la région uniques de votre compte Azure Maps à l’adresse IP privée du point de terminaison. Par exemple, si l'ID client de votre compte Maps est abc123 et que la région est East US, l’enregistrement DNS convertit ce nom d’hôte en l'adresse IP de l'endpoint privé.

• Nom de l’enregistrement :abc123.eastus.account.maps.azure.com
• Valeur d’enregistrement :10.x.y.z - Adresse IP privée affectée au point de terminaison.

Les clients à l’intérieur du réseau virtuel résolvent le nom d’hôte en adresse IP privée pour la connectivité privée, tandis que les clients en dehors du réseau résolvent le même nom d’hôte vers le point de terminaison public Azure Maps. Cette approche DNS à horizon fractionné vous permet d’utiliser une URL de point de terminaison unique à l’intérieur et à l’extérieur du réseau virtuel.

Si vous n’utilisez pas l’intégration DNS automatique, configurez le DNS manuellement afin que le nom d’hôte du compte Azure Maps
(<maps-account-client-id>.<location>.account.maps.azure.com) correspond à l’adresse IP du point de terminaison privé au sein de votre réseau. Pour plus d’informations, consultez la documentation DNS du point de terminaison privé Azure.

3. Utiliser le point de terminaison privé dans vos applications

Pour utiliser le point de terminaison privé, configurez vos applications pour appeler le point de terminaison spécifique au compte Azure Maps. Vous trouverez ce point de terminaison dans les pages Vue d’ensemble ou d’authentification du compte Azure Maps, ou dans la ressource de point de terminaison privé sous configuration DNS (noms de domaine complets visibles par le client).

Le modèle d’accès est :

https://{maps-account-client-id}.{location}.account.maps.azure.com

4. [Facultatif] Désactiver l’accès au réseau public

Même après avoir créé un point de terminaison privé, les points de terminaison publics de votre compte Azure Maps restent actifs par défaut. Cela permet aux applications existantes en dehors du réseau virtuel de continuer à fonctionner jusqu’à ce que vous les restreignez intentionnellement. Si vous avez besoin d’un accès privé exclusif, désactivez l’accès réseau public pour le compte Maps.

Dans le portail Azure, ouvrez votre compte Maps et accédez à Mise en réseau. Définissez l’accès public sur Désactiver et enregistrer. Une fois terminé, Azure Maps rejette toutes les tentatives de connexion sur le point de terminaison public. Cela ajoute une couche supplémentaire de protection : même si quelqu’un possède votre clé d’authentification Maps ou votre jeton SAP, il ne peut pas l’utiliser à partir d’Internet une fois l’accès public désactivé.

Vous pouvez également désactiver l’accès public via des modèles ARM ou Azure CLI en définissant la propriété publicNetworkAccess à Disabled.

Après avoir désactivé l’accès au réseau public, validez la connectivité à partir de chaque application. Les points de terminaison publics (par exemple) atlas.microsoft.comsont bloqués par conception. Mettez donc à jour toutes les configurations d’application et de KIT de développement logiciel (SDK) pour utiliser le point de terminaison DNS privé.

Autres considérations

• Résolution DNS : Si vous ne pouvez pas vous connecter à Azure Maps via le point de terminaison privé, vérifiez votre configuration DNS, car les problèmes DNS sont une cause courante de problèmes de connectivité.
• Plusieurs réseaux : Vous pouvez créer plusieurs points de terminaison privés pour un compte Azure Maps unique pour vous connecter à partir de différents réseaux virtuels. Chaque point de terminaison privé utilise une adresse IP du sous-réseau sélectionné.

L’utilisation d’Azure Private Link avec Azure Maps conserve tout le trafic d’application sur les réseaux privés. Cela améliore la sécurité et prend en charge les stratégies réseau d’entreprise tout en conservant toutes les fonctionnalités d’Azure Maps. Azure Maps est accessible via des adresses IP privées et DNS, ce qui garantit que le trafic reste dans votre limite réseau contrôlée.

Demander à Copilot

Contenu connexe

• Valeurs de zone DNS privée du point de terminaison privé Azure
• Disponibilité d’Azure Private Link