Sécurité réseau pour les espaces de noms Azure Event Grid

Cet article explique comment utiliser les fonctionnalités de sécurité suivantes avec Azure Event Grid :

• Étiquettes de service en sortie
• Règles de pare-feu IP
• Points de terminaison privés

Balises de service

Une étiquette de service représente un groupe de préfixes d’adresses IP d’un service Azure donné. Microsoft gère les préfixes d’adresses englobés par l’étiquette de service et met à jour automatiquement l’étiquette de service quand les adresses changent, ce qui réduit la complexité des mises à jour fréquentes relatives aux règles de sécurité réseau. Pour plus d’informations sur les étiquettes de service, consultez Vue d’ensemble des balises de service.

Vous pouvez utiliser des balises de service pour définir des contrôles d’accès réseau sur des groupes de sécurité réseau ou un pare-feu Azure. Utilisez des étiquettes de service à la place des adresses IP spécifiques lors de la création de règles de sécurité. En spécifiant le nom de l’étiquette de service (par exemple, Azure Event Grid) dans les champs source ou de destination appropriés d’une règle, vous pouvez autoriser ou refuser le trafic pour le service correspondant.

Pare-feu IP

Par défaut, les espaces de noms et entités Event Grid sont accessibles à partir d’Internet tant que la demande est fournie avec une authentification valide (clé d’accès) et une autorisation. Avec le pare-feu IP, vous pouvez la limiter à un ensemble d’adresses IPv4 ou de plages d’adresses IPv4 dans la notation CIDR (Classless Inter-Domain Routing). Les clients provenant d’une autre adresse IP sont rejetés et reçoivent une réponse 403 (Interdit).

Pour les scénarios MQTT (Message Queueing Telemetry Transport), seuls les clients qui appartiennent à la plage d’adresses IP autorisées peuvent se connecter pour publier et s’abonner aux événements. Pour plus d’informations, consultez Configurer le pare-feu IP pour les espaces de noms Event Grid dans les scénarios MQTT.

Pour les scénarios autres que MQTT, seuls les clients qui appartiennent à la plage d’adresses IP autorisées peuvent se connecter à Azure Event Grid pour publier des événements ou extraire des événements. Pour plus d’informations, consultez Configurer le pare-feu IP pour les espaces de noms Event Grid dans des scénarios autres que MQTT.

Les étapes sont identiques pour les deux scénarios. Ces articles fournissent des informations supplémentaires spécifiques aux scénarios MQTT ou non-MQTT.

Points de terminaison privés

Un point de terminaison privé est une interface réseau spéciale pour un service Azure dans votre réseau virtuel. Lorsque vous créez un point de terminaison privé pour votre espace de noms, il fournit une connectivité sécurisée entre les clients sur votre réseau virtuel et votre espace de noms Event Grid. Une adresse IP est attribuée au point de terminaison privé à partir de la plage d’adresses IP de votre réseau virtuel. La connexion entre le point de terminaison privé et le service Event Grid utilise une liaison privée. L’utilisation de points de terminaison privés pour votre espace de noms Event Grid vous permet de :

• Sécurisez l’accès à votre espace de noms à partir d’un réseau virtuel via le réseau principal Microsoft, par opposition à l’Internet public.
• Se connecter en toute sécurité à partir de réseaux locaux qui se connectent au réseau virtuel à l’aide d’un VPN ou d’itinéraires ExpressRoute avec le peering privé.

Lorsque vous créez un point de terminaison privé pour un espace de noms dans votre réseau virtuel, une demande de consentement est envoyée pour approbation au propriétaire de la ressource. Si l’utilisateur qui demande la création du point de terminaison privé est également propriétaire de la ressource, cette demande de consentement est automatiquement approuvée. Sinon, la connexion affiche l’état En attente jusqu’à ce qu’elle soit approuvée. Les applications du réseau virtuel peuvent se connecter en toute transparence au service Event Grid sur le point de terminaison privé, à l’aide des mêmes chaînes de connexion et mécanismes d’autorisation qu’ils utiliseraient dans tous les cas. Les propriétaires de la ressource peuvent gérer les demandes de consentement et les points de terminaison privés, via l’onglet Points de terminaison privés de la ressource dans le portail Azure.

Lorsqu’un client MQTT dans un réseau privé se connecte au répartiteur MQTT sur une liaison privée, le client peut publier et s’abonner aux messages MQTT. Pour plus d’informations, consultez Configurer des points de terminaison privés pour les espaces de noms dans les scénarios MQTT.

Dans les scénarios autres que MQTT, un client d’un réseau privé peut se connecter à l’espace de noms Event Grid et publier des événements ou extraire des événements. Pour plus d’informations, consultez Configurer des points de terminaison privés pour les espaces de noms dans des scénarios autres que MQTT.

Se connecter à des points de terminaison privés

Vous pouvez utiliser des points de terminaison privés pour autoriser l’entrée d’événements directement de votre réseau virtuel à des entités dans vos espaces de noms Event Grid en toute sécurité via une liaison privée sans passer par l’Internet public. Le point de terminaison privé utilise une adresse IP de l’espace d’adressage du réseau virtuel pour votre namespace.

Les clients sur un réseau virtuel utilisant le point de terminaison privé doivent utiliser la même chaîne de connexion pour l’espace de noms que les clients se connectant au point de terminaison public. La résolution DNS (Domain Name System) achemine automatiquement les connexions du réseau virtuel vers l’espace de noms via une liaison privée. Event Grid crée une zone DNS privée attachée au réseau virtuel avec la mise à jour nécessaire pour les points de terminaison privés, par défaut. Toutefois, si vous utilisez votre propre serveur DNS, vous devrez peut-être apporter des modifications supplémentaires à votre configuration DNS.

Lorsqu’un client MQTT sur un réseau privé se connecte au répartiteur MQTT sur une liaison privée, le client peut publier et s’abonner aux messages MQTT.

Modifications DNS pour les points de terminaison privés

Quand vous créez un point de terminaison privé, l’enregistrement DNS CNAME pour la ressource est mis à jour avec un alias dans un sous-domaine avec le préfixe privatelink. Par défaut, une zone DNS privée correspondant au sous-domaine de la liaison privée est créée.

Lorsque vous résolvez l’URL du point de terminaison de l’espace de noms depuis l’extérieur du réseau virtuel avec le point de terminaison privé, elle se résout au point de terminaison public du service. Les enregistrements de ressources DNS pour « namespaceA », lorsqu’ils sont résolus à partir de l’extérieur du réseau virtuel hébergeant le point de terminaison privé, sont les suivants :

Vous pouvez refuser ou contrôler l’accès pour un client en dehors du réseau virtuel via le point de terminaison public à l’aide du pare-feu IP.

Lorsqu’elle est résolue depuis le réseau virtuel hébergeant le point de terminaison privé, l’URL du point de terminaison de l’espace de noms se résout à l’adresse IP du point de terminaison privé. Les enregistrements de ressources DNS de l’espace de noms « namespaceA », lorsqu’ils sont résolus à partir du réseau virtuel hébergeant le point de terminaison privé, sont les suivants :

Cette approche permet d’accéder à l’espace de noms à l’aide de la même chaîne de connexion pour les clients sur le réseau virtuel hébergeant les points de terminaison privés et les clients en dehors du réseau virtuel.

Si vous utilisez un serveur DNS personnalisé sur votre réseau, les clients peuvent résoudre le nom de domaine complet (FQDN) du point de terminaison du namespace à l’adresse IP du point de terminaison privé. Configurez votre serveur DNS pour déléguer votre sous-domaine de liaison privée à la zone DNS privée du réseau virtuel, ou configurez les enregistrements A pour namespaceName.regionName.privatelink.eventgrid.azure.net avec l’adresse IP du point de terminaison privé.

Le nom recommandé pour la zone DNS est privatelink.eventgrid.azure.net.

Points de terminaison privés et publication

Le tableau suivant décrit les différents états de connexion au point de terminaison privé et les effets sur la publication :

Pour réussir une publication, l’état de la connexion au point de terminaison privé doit être approuvé. Si une connexion est rejetée, elle ne peut pas être approuvée à l’aide du portail Azure. La seule possibilité consiste à supprimer la connexion et à en créer une nouvelle à la place.

Quotas et limites

Il existe une limite quant au nombre de règles de pare-feu IP et de connexions de point de terminaison privé par espace de noms. Consultez Quotas et limites d’Azure Event Grid.

Articles connexes

Si vous utilisez MQTT, consultez les articles suivants :

• Configurer le pare-feu IP pour les espaces de noms Event Grid dans les scénarios MQTT
• Configurer des points de terminaison privés pour les espaces de noms Event Grid dans les scénarios MQTT

Pour la livraison d'événements basée sur la technique de pull, consultez les articles suivants :

• Configurer le pare-feu IP pour les espaces de noms Event Grid dans des scénarios autres que MQTT
• Configurer des points de terminaison privés pour les espaces de noms Event Grid dans des scénarios autres que MQTT