Qu’est-ce qu’un point de terminaison de communauté ?

A community endpoint est un ensemble de destinations de confiance et de connexions de centres de transit qui permettent la communication par enclave vers des réseaux privés situés en dehors des limites communautaires.

Les connexions enclave associées à un point de terminaison communautaire permettent de source enclave se connecter à des destinations définies à l’intérieur du point de terminaison communautaire. Ces points de terminaison fournissent un mécanisme contrôlé pour que les enclaves communiquent avec les services externes tout en conservant les limites d’isolation réseau de Azure Enclave.

Les règles réseau Pare-feu Azure imposent les points de terminaison communautaires, garantissant que la connectivité sortante des enclaves soit explicitement définie et gouvernée.

Architecture d’un endpoint communautaire

Diagramme montrant une communauté avec des connexions via des points de terminaison de communauté à des ressources externes.

Dans cette architecture :

  1. Un enclave initie la connectivité sortante.
  2. Le trafic est acheminé à travers le community endpoint.
  3. La demande est évaluée selon Pare-feu Azure network rules.
  4. Si une règle correspond, la connexion à la destination est autorisée.

Ce modèle garantit que tout le trafic sortant des enclaves passe par une application centralisée des politiques.

Types de règles de terminaison communautaires

Les points de terminaison de la communauté prennent en charge plusieurs types de règles qui définissent la façon dont les enclaves peuvent se connecter aux ressources externes.

  • IP AddressActivez le trafic d’une enclave vers une adresse IP spécifique en dehors du Virtual WAN communautaire.

  • Fully Qualified Domain Name (FQDN) Activez le trafic d’une enclave vers un nom de domaine de confiance (par portal.azure.comexemple ).
    Les règles FQDN supportent TCP and UDP protocols, donc vous pouvez vous connecter à des services qui exposent les points d’accès via DNS plutôt que via des adresses IP statiques.

  • FQDN TagActivez le trafic des enclaves vers les services Microsoft Azure connus via FQDN tags, tels que AzurePortal.

  • Service TagActivez le trafic des enclaves vers les services Azure en utilisant Azure Service Tags. Les balises de service représentent des groupes de préfixes d’adresses IP pour des services Azure spécifiques, ce qui simplifie la création de règles de sécurité. Lorsque vous utilisez un Service Tag, Azure maintient automatiquement les plages d'adresses IP sous-jacentes au fur et à mesure qu'elles changent, vous n'avez donc pas besoin de mettre à jour manuellement les règles lors de la modification des adresses IP du service.

    Les balises de service courantes sont les suivantes :

    • AzureCloud- Toutes les adresses IP du centre de données Azure
    • AzureStorage- adresses IP du service stockage Azure
    • AzureKeyVault- adresses IP du service Azure Key Vault
    • AzureActiveDirectory- adresses IP de service Microsoft Entra ID
    • AzureMonitor- adresses IP de service Azure Monitor
    • Sql- adresses IP du service Azure SQL Database

    Pour obtenir la liste complète des étiquettes de service disponibles, consultez Réseau virtuel balises de service.

  • Private Network Activez le trafic des enclaves vers un réseau privé externe via une connexion existante transit hub . Le hub de transit doit exister avant de pouvoir créer une règle de réseau privé.

Points de terminaison communautaires pour les services courants

Azure Enclave prend en charge la création de points de terminaison communautaires pour les services courants dont de nombreuses organisations ont besoin. Les administrateurs peuvent configurer les terminaux pour les services Azure et services Microsoft fréquemment utilisés afin de simplifier la connectivité sans nécessiter la configuration manuelle des règles du pare-feu.

Les points de terminaison de service courants incluent la connectivité à :

  • Azure services de gestion - Portail, Resource Manager et API de gestion
  • Services Microsoft Update - points de terminaison Windows Update et Microsoft Update
  • Azure services de surveillance - Azure Monitor, Log Analytics et Application Insights
  • Services d’identité - Microsoft Entra ID points de terminaison pour l’authentification et l’autorisation
  • Services de certificats - Liste de révocation de certificats (CRL) et points de terminaison OCSP (Online Certificate Status Protocol)

L’utilisation de points de terminaison de service courants préconfigurés offre plusieurs avantages :

  • Configuration simplifiée : il n’est pas nécessaire d’identifier et de configurer manuellement des adresses IP individuelles ou des noms de domaine complets
  • Mises à jour automatiques : les points de terminaison sont gérés par Azure et mis à jour à mesure que les adresses de service changent
  • Alignement des bonnes pratiques - Les points de terminaison préconfigurés suivent Microsoft modèles de connectivité recommandés
  • Réduction de la surcharge administrative : réduit la maintenance continue requise pour les règles de connectivité sortante

Pour activer les points de terminaison de service courants pour votre communauté, consultez Créer un point de terminaison de communauté.

Règles de réseau FQDN

Support des endpoints FQDN-based Pare-feu Azure network rules communautaires pour TCP and UDP protocols. Cette fonctionnalité permet aux enclaves de se connecter à des destinations basées sur un domaine sans obliger les administrateurs à conserver des listes d’adresses IP statiques.

Lorsqu’une règle de point de terminaison communautaire spécifie un FQDN destination, Pare-feu Azure résout le nom de domaine vers ses adresses IP associées lors de l’évaluation des règles. Le trafic est ensuite autorisé ou refusé en fonction des paramètres de règle configurés, tels que le protocole et le port de destination.

L’utilisation de règles basées sur un nom de domaine complet offre plusieurs avantages :

  • Simplifie la gestion des règles de pare-feu à l’aide de noms de domaine au lieu d’adresses IP
  • Supports services avec dynamic or frequently changing IP ranges
  • Facilite la connectivité à SaaS platforms and Azure platform services
  • Améliore l’extensibilité pour les déploiements d’enclaves Azure volumineux

Étant donné que l’évaluation des règles s’appuie sur Pare-feu Azure comportement, la connectivité des points de terminaison de la communauté suit la logique standard de traitement et de filtrage des règles Pare-feu Azure.

Pour plus d’informations, consultez la documentation Pare-feu Azure suivante :

  • Dernière mise à jour :