Utilisez stockage Azure Mover Private Connections pour les migrations en source privée

Azure prend en charge plusieurs façons de se connecter à des réseaux privés. La meilleure approche dépend de vos besoins en matière de latence, de bande passante, de sécurité, de coût et de complexité opérationnelle.

• Azure ExpressRoute - Connectivité privée et dédiée qui ne traverse pas l’Internet public.
• VPN IPsec de site à site : tunnels chiffrés sur l’Internet public (généralement à l’aide de la passerelle VPN Azure).
• SD-WAN via des appliances virtuelles réseau (NVA) : les appliances tierces fournissent des fonctionnalités VPN/pare-feu et peuvent arrêter des tunnels au lieu d’utiliser des passerelles natives.

En général, ExpressRoute est préféré pour la bande passante la plus élevée et la latence la plus faible. Quand ExpressRoute n’est pas disponible, utilisez un VPN de site à site ou une conception basée sur SD-WAN/NVA.

Concepts clés

ExpressRoute : connectivité privée à Azure via un fournisseur de connectivité ; généralement utilisée pour une latence prévisible et un débit plus élevé.

Passerelle VPN Azure référence SKU : la taille de la passerelle/référence SKU affecte le nombre de tunnel et le débit ; choisissez en fonction de la bande passante et de la résilience requises.

Stratégie IPsec/IKE : algorithmes de chiffrement et paramètres utilisés pour établir et sécuriser des tunnels VPN (par exemple, familles AES et SHA, groupes DH/PFS).

BGP (Border Gateway Protocol) : routage dynamique qui échange des préfixes entre les réseaux ; couramment utilisé pour les tunnels actifs/actifs et le basculement de routage.

Appliance virtuelle réseau (NVA) : appareil de réseau virtuel tiers (par exemple, pare-feu/SD-WAN) déployé dans Azure ; souvent utilisé pour l’inspection, la stratégie et le routage avancés.

UDR (routes définies par l’utilisateur) : itinéraires personnalisés dans Azure permettant d’acheminer le trafic vers le prochain saut, tel qu’une appliance virtuelle réseau.

AWS Transit Gateway (TGW) / Passerelle privée virtuelle (VGW) : points de terminaison de routage AWS pour VPN/Direct Connect ; TGW est généralement préféré pour le hub-and-spoke et la mise à l’échelle.

Point de terminaison AWS VPC (VPCE) pour Amazon S3 : connexion privée entre un VPC et S3 ; fréquemment associée à des stratégies DNS ainsi qu’à des stratégies de point de terminaison ou de compartiment privés.

Stratégie de compartiment S3 et stratégie VPCE : stratégies basées sur des ressources qui peuvent autoriser/refuser l’accès, y compris les restrictions à un VPCE spécifique via aws :SourceVpce.

Azure Private Link Service Direct Connect : fonctionnalité Azure permettant de créer une connectivité privée sortante à une adresse IP de destination (par exemple, une adresse IP AWS VPCE) pour les services tels que les connexions privées Storage Mover.

Approbation de connexion privée : les connexions privées peuvent nécessiter une approbation explicite avant de pouvoir être utilisées par les charges de travail/travaux.

Alignement régional : certaines ressources (par exemple, AWS VPCEs et certaines constructions de service Azure) sont délimitées à la région et doivent être déployées dans des régions compatibles.

Quand utiliser chaque option

ExpressRoute : choisissez quand vous avez besoin de performances prévisibles, de connectivité privée et d’un débit plus élevé pour la connectivité hybride.

VPN de site à site : choisissez une configuration plus rapide, un coût inférieur ou un chemin de sauvegarde ; les performances dépendent des conditions Internet et de la référence SKU de passerelle.

SD-WAN/NVAs : choisissez quand vous avez besoin d’un routage spécifique au fournisseur, d’une inspection de sécurité ou d’un modèle opérationnel SD-WAN existant.

Options de connectivité dans Azure

ExpressRoute

En savoir plus :Documentation ExpressRoute

Routage: Le protocole BGP est couramment utilisé sur des circuits privés pour échanger des préfixes entre Azure et votre réseau.

Fournisseurs de connectivité : ExpressRoute est généralement approvisionné via un fournisseur de colocalisation ou de connectivité (par exemple, Equinix, Megaport).

VPN IPsec de site à site (Passerelle VPN Azure)

Aperçu: Utilisez la passerelle VPN Azure pour les tunnels IPsec de site à site chiffrés sur l’Internet public. Pour bénéficier d’un débit accru et d’une meilleure résilience, sélectionnez une référence SKU adaptée, par exemple des références SKU de deuxième génération et à redondance de zone lorsqu’elles sont disponibles.

En savoir plus :Tutoriel - Créer une connexion VPN S2S

Routage: Utilisez BGP pour échanger des itinéraires et prendre en charge des tunnels actifs/actifs sur plusieurs connexions.

Pour obtenir une procédure pas à pas détaillée du protocole BGP multi-tunnel entre Passerelle VPN Azure et AWS, consultez : Tutorial - Configurer une connexion compatible BGP entre Azure et AWS.

Conseils d’implémentation (performances VPN)

Exemples de paramètres IPsec/IKE personnalisés (valider par rapport à la compatibilité de votre appareil) : GCMAES256 pour le chiffrement/intégrité IPsec, SHA256 pour l’intégrité IKE, DHGroup14, PFS2048.

En savoir plus :Configurer des stratégies de connexion IPsec/IKE personnalisées.

SD-WAN avec des appliances réseau virtuelles

Les SD-WAN et les appliances virtuelles réseau (NVA) sont en mesure de terminer les tunnels VPN, de réaliser des inspections et d’appliquer des politiques centralisées de routage et de sécurité. Cette approche est utile lorsque vous avez besoin de fonctionnalités spécifiques au fournisseur ou que vous utilisez déjà une plateforme de SD-WAN sur plusieurs sites.

Fortinet : Pare-feu de nouvelle génération FortiGate

Cisco : Catalyst SD-WAN, Meraki SD-WAN

HPE (Aruba Networks) : EdgeConnect SD-WAN

Palo Alto Networks : Prisma SD-WAN

Arista (VMware) : VeloCloud SD-WAN Virtual Edge

Les SD-WAN NVA sont généralement proposés sous licence selon un modèle de paiement à l’utilisation (PAYG) ou de licence apportée par l’utilisateur (BYOL). La prise en charge du fournisseur varie selon l’option de déploiement.

Exemple de déploiement (FortiGate NVA dans Azure)

Sélectionnez une topologie (machine virtuelle unique, active/passive ou active/active) en fonction des exigences de disponibilité et de débit.

Choisissez une taille de machine virtuelle appropriée (souvent de série F ou D avec processeur virtuel supérieur) et activez la mise en réseau accélérée où elles sont prises en charge.

Conception du réseau : placez des interfaces dans des sous-réseaux WAN/LAN (et protégés) et configurez des règles de groupe de sécurité réseau pour les ports VPN et de gestion requis (par exemple, UDP 500/4500 pour IPsec).

Routage : utilisez les UDR afin d’acheminer les préfixes Azure-AWS vers le prochain saut correspondant à l’appliance virtuelle réseau.

Documentation du fournisseur : Pour obtenir des exemples d’étapes de configuration d’IPsec entre des appareils FortiGate, consultez l’article Fortinet Community ci-dessous.

Comment configurer un VPN site-à-site entre des appareils FortiGate (Fortinet Community)

Connectivité AWS à Azure

AWS Direct Connect à Azure ExpressRoute

AWS Direct Connect peut être associé à Azure ExpressRoute via un fournisseur de colocalisation pour créer une connexion privée à haut débit entre AWS et Azure.

Routage: BGP sur des circuits privés

Connectivité: En règle générale, via un fournisseur de colocation/connectivité

Qu’est-ce que Direct Connect ? - AWS Direct Connect

Créer une passerelle Direct Connect - AWS Direct Connect

VPN de site à site AWS (BGP)

Pour AWS-to-Azure VPN, utilisez le routage dynamique (BGP) et préférez AWS Transit Gateway (TGW) pour la mise à l’échelle et les performances, le cas échéant.

En savoir plus :Tutoriel : Configurer une connexion compatible BGP entre Azure et AWS.

AWS SD-WAN avec NVA

Si vous utilisez une plateforme SD-WAN dans AWS (par exemple, FortiGate sur EC2), vous pouvez arrêter des tunnels dans AWS et vous connecter à Azure à l’aide du même modèle de stratégie SD-WAN utilisé localement.

1. Lancez l’appliance réseau virtuelle depuis AWS Marketplace et dimensionnez l’instance pour le débit requis.
2. Attachez des interfaces WAN/LAN, associez une adresse IP élastique à l’interface WAN et désactivez les vérifications source/destination si nécessaire par le modèle de routage de l’appliance.
3. Configurez des groupes de sécurité et des tables de routage pour autoriser les préfixes Azure et diriger le trafic via l’appliance.

Détails de l’implémentation pour l’accès privé AWS FSx (terminaux VPC)

Configurez un point de terminaison AWS VPC (VPCE) pour Amazon FSx

Un point de terminaison VPC D’AWS (VPCE) pour FSx fournit un point de terminaison privé à un service S3 qui permet à votre VPC d’atteindre FSx de manière privée. Pour créer votre partage FSx et l’attacher à un VPC, consultez la documentation AWS. Assurez-vous que votre part se trouve dans un VPC disposant d’une connectivité AWS et que la sécurité FSx permet par défaut un trafic sécurisé sur le port 445.

Détails de l’implémentation pour l’accès privé S3 (points de terminaison VPC)

Configurer un point de terminaison AWS VPC (VPCE) pour Amazon S3

Un point de terminaison AWS VPC (VPCE) pour S3 permet à votre VPC d’atteindre S3 en privé. Pour cette conception, vous activez généralement le DNS privé, puis limitez l’accès à l’aide du VPCE et des stratégies de compartiment.

Étapes de haut niveau

1. Assurez-vous que votre VPC prend en charge le DNS et que les noms d’hôte DNS sont activés.
2. Créez une interface VPCE pour Amazon S3 dans le VPC et les sous-réseaux cibles, puis activez le DNS privé.
3. Configurez les stratégies de bucket et de VPCE pour autoriser uniquement les actions S3 requises et (éventuellement) restreindre l'accès à l'endpoint spécifique à l'aide de aws:SourceVpce.

Exemple : politique de bucket S3 limitée à un VPCE spécifique.

Considérations relatives aux groupes de sécurité

Autorisez le trafic requis à partir de préfixes sources Azure vers le VPCE et les ressources AWS associées (principe du privilège minimum).

Configuration Azure pour Private Link Service Direct Connect

Créer la ressource Private Link Service Direct Connect

Private Link Service Direct Connect permet à Azure de créer une connectivité privée sortante vers une adresse IP de destination (par exemple, une adresse IP AWS VPCE). Dans ce scénario, il permet aux connexions privées de Storage Mover d’atteindre un point de terminaison S3 privé via votre chemin réseau établi d'Azure à AWS.

1. Déployez la ressource PLS Direct Connect dans la même région Azure que la ressource Storage Mover et le réseau virtuel Azure utilisé pour accéder à AWS.
2. Activez cette fonctionnalité dans le portail Azure à l’aide du lien de vol fourni : lien de vol du portail Azure (PLS Direct Connect).
3. Vérifiez que le réseau virtuel/sous-réseau Azure sélectionné pour le NAT source a une connectivité au VPC AWS et à l'adresse IP du VPCE.

Étapes de haut niveau

1. Créez la ressource Private Link Service (Votre service) pour Direct Connect dans la région appropriée.
2. Configurer les paramètres sortants :
3. Définissez la méthode de connexion sur l’adresse IP de destination et entrez l’adresse IP AWS VPCE.
4. Sélectionnez le réseau virtuel NAT source et le sous-réseau qui peuvent être acheminés vers AWS.
5. Configurez les paramètres d’adresse IP privée comme requis pour la résilience (par exemple, deux adresses ou plus par incréments pris en charge).

Créer et approuver des connexions privées

Après avoir créé la ressource Direct Connect, créez une connexion privée dans Storage Mover et approuvez-la avant l’utilisation.

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private S3 connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Utiliser des connexions privées pour la migration cloud-à-cloud

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-s3-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private S3 to Azure Blob Storage"

Architecture

Flux de migration privé (réseaux privés)

Le diagramme précédent montre le réseau privé vers AWS, mais le même schéma de connexion privée s’applique à d’autres scénarios de source privée pris en charge.

Flux de migration cloud-à-cloud (compartiment S3 public vers Blob Azure)

Troubleshooting

Connectivité et adressage IP

• Vérifiez l’adresse IP de destination dans Azure PLS : Vérifiez que le service Azure Private Link pointe spécifiquement vers l’adresse IP du point de terminaison AWS VPC. Toute incompatibilité à ce stade empêchera l’établissement de la liaison initiale.
• Valider le chemin d’accès réseau : Vérifiez que l’infrastructure réseau sous-jacente (par exemple, VPN, ExpressRoute ou Interconnexion cloud) est établie et que le trafic de routage est correctement établi entre l’environnement Azure et le VPC AWS.
• Vérifier les configurations de l’interface : Passez en revue la configuration du point de terminaison AWS VPC pour vous assurer qu’elle est active et associée aux sous-réseaux et groupes de sécurité appropriés.

Configuration de la stratégie VPCE

• Auditer les autorisations de ressource : Inspectez l’élément Resource dans votre stratégie VPCE. Il doit inclure explicitement l’ARN du compartiment S3 cible (par exemple, arn:aws:s3:::your-bucket-name et arn:aws:s3:::your-bucket-name/*).
• Autorisations d’action d’audit : Vérifiez que l’élément Action de la stratégie VPCE autorise les opérations nécessaires. Au minimum, s3:Get* et s3:List* sont nécessaires pour la lecture et la navigation des données.
• Logique de stratégie : Si vous utilisez une stratégie personnalisée, vérifiez qu’aucune instruction « Deny » ne remplace par inadvertance les instructions « Allow » pour le trafic source Azure.
  

Contraintes de stratégie de compartiment S3

• Liste blanche VPCE : examinez la stratégie de compartiment S3 afin d’identifier un bloc Condition. Si le compartiment limite l’accès, il doit autoriser explicitement le aws:SourceVpce correspondant au point de terminaison VPC utilisé.
• Accès principal : Vérifiez que l’identité IAM ou l’accès anonyme (le cas échéant via VPCE) n’est pas bloqué par les paramètres de liste de contrôle d’accès (ACL) ou de bloc d’accès public du compartiment.

Alignement régional

• Validation de l’étendue de la région : Les points de terminaison AWS VPC pour S3 sont délimités par la région. us-west Un VPCE ne peut pas acheminer le trafic vers un compartiment S3 situé dans us-east.
• Assainissement : Si vous identifiez un décalage régional, migrez le compartiment S3 vers la même région que le VPCE, ou établissez un nouveau VPCE dans la région du compartiment. Cette approche pourrait nécessiter un routage interrégional supplémentaire.

Limits

• Les clients peuvent configurer un maximum de 10 connexions/régions privées. Cela inclut l’état de connexion privée dans l’état Approuvé/En attente/Déconnecté.
• PLS direct doit être configuré dans la même région que la ressource de déplacement de stockage.

Performance

stockage Azure Mover prend en charge la migration sécurisée et à grande échelle des données dans les environnements cloud, y compris les scénarios nécessitant une isolation réseau stricte. En utilisant Azure Private Link et des points de terminaison privés, les transferts de données restent dans des limites approuvées entre votre GOOGLE Cloud VPC et Azure réseau virtuel.

Cet article explique comment configurer la connectivité réseau privée entre Google Cloud Storage (GCS) et Azure, configurer des connexions privées dans Storage Mover et créer un travail de migration qui conserve les données hors de l’Internet public.

Prerequisites

Prérequis pour Azure

• Un abonnement Azure actif avec les autorisations nécessaires pour créer et gérer des ressources stockage Azure Mover.
• Ressource Storage Mover déployée dans votre abonnement Azure.
• Un Azure Key Vault pour stocker vos informations d’identification GCS HMAC (clé d’accès et clé secrète).
• Connaissance de la hiérarchie des ressources d’stockage Azure Mover.

Conditions préalables à Google Cloud

• Un compte Google Cloud avec accès au compartiment GCS que vous souhaitez migrer.
• Clés HMAC générées pour un compte de service GCS (ID de clé d’accès + clé secrète).
• Un VPC Google Cloud avec connectivité à Azure (via vpn cloud ou interconnexion cloud).
• Vérifiez que le compte de service GCS dispose au minimum des rôles Storage Legacy Bucket Reader et Storage Legacy Object Reader sur le bucket cible.
• Point de terminaison PSC (Private Service Connect) pour les API Google configurées dans votre GCP VPC, fournissant une adresse IP privée stable pour l’accès au stockage cloud.

Conditions préalables à la mise en réseau privée

• Ressource Private Link Service Direct Connect configurée dans Azure avec l’adresse IP du point de terminaison GCP PSC comme destination.
• Connaissance de la documentation de mise en réseau Azure Private Link.

Options de connectivité réseau privé

Pour migrer des données à partir d’un compartiment GCS restreint au VPC, vous avez d’abord besoin d’un chemin d’accès réseau privé entre votre GOOGLE Cloud VPC et Azure. Azure prend en charge plusieurs options de connectivité :

Pour la plupart des scénarios, le VPN de site à site offre un bon équilibre entre les coûts et les performances. Pour un débit le plus élevé, utilisez ExpressRoute associé à Google Cloud Interconnect.

Options de connectivité dans Azure

ExpressRoute

En savoir plus :Routage de la documentation ExpressRoute: le protocole BGP est couramment utilisé sur les circuits privés pour échanger des préfixes entre Azure et votre réseau. Fournisseurs de connectivité : ExpressRoute est généralement approvisionné via un fournisseur de colocalisation ou de connectivité (par exemple, Equinix, Megaport).

VPN IPsec de site à site (Passerelle VPN Azure)

Aperçu: Utilisez la passerelle VPN Azure pour les tunnels IPsec de site à site chiffrés sur l’Internet public. Pour bénéficier d’un débit accru et d’une meilleure résilience, sélectionnez une référence SKU adaptée, par exemple des références SKU de deuxième génération et à redondance de zone lorsqu’elles sont disponibles. En savoir plus :Tutoriel : Créer un routage de connexion VPN S2S: Utilisez BGP pour échanger des itinéraires et prendre en charge des tunnels actifs/actifs sur plusieurs connexions.

Pour obtenir une procédure pas à pas détaillée du VPN haute disponibilité entre Google Cloud et Azure, consultez Créer des connexions VPN haute disponibilité entre Google Cloud et Azure.

Conseils d’implémentation (performances VPN)

Exemples de paramètres IPsec/IKE personnalisés (valider par rapport à la compatibilité de votre appareil) : GCMAES256 pour le chiffrement/intégrité IPsec, SHA256 pour l’intégrité IKE, DHGroup14, PFS2048.

En savoir plus :Configurer des stratégies de connexion IPsec/IKE personnalisées.

Configurer un VPN de site à site entre Azure et Google Cloud

Côté Google Cloud :

• Créez une passerelle VPN haute disponibilité sur votre VPC. Notez les deux adresses IP externes attribuées automatiquement.
• Créez un routeur cloud dans la même région pour gérer les sessions BGP.
• Créez des tunnels VPN pointant vers les adresses IP publiques Passerelle VPN Azure.
• Configurez des sessions BGP sur Cloud Router à l’aide des adresses IP homologues BGP échangées avec Azure.
• Vérifiez que le sous-réseau de point de terminaison PSC est accessible à partir de Azure via le tunnel VPN. Cloud Router publie des itinéraires pour vos sous-réseaux VPC pour Azure automatiquement via BGP.

Pour en savoir plus:

• Google Cloud HA VPN

Note: Aucune configuration de chiffrement spécifique n’est requise côté Google Cloud. Google Cloud HA VPN négocie automatiquement les paramètres IPsec en fonction de ce qu’il reçoit de la Passerelle VPN Azure.

Configurer l’accès privé à GCS

Private Service Connect (PSC) crée un point de terminaison privé avec une adresse IP RFC 1918 stable à l’intérieur de votre GOOGLE Cloud VPC pour accéder aux API Google, notamment Cloud Storage. Cette adresse IP est la destination que vous configurez dans Azure Private Link Service Direct Connect.

• Dans la console Google Cloud, accédez aux services> réseauPrivate Service Connect.

• Sélectionnez Connecter un point de terminaison et choisissez les API Google comme cible.

• Sélectionnez toutes les API Google Cloud ou les valeurs VPC-SC dans le champ Type de bundle , en fonction de vos exigences de sécurité.

• Attribuez une adresse IP privée à partir de votre sous-réseau VPC.

  Enregistrez cette adresse IP privée. Vous en avez besoin lors de la configuration de la ressource Azure PLS Direct Connect.

En savoir plus

Restreindre l’accès au compartiment GCS (facultatif)

Pour restreindre davantage l’accès à votre bucket GCS au seul VPC, vous pouvez utiliser le filtrage IP des buckets GCS :

• Limitez l’accès à votre réseau VPC GCP spécifique ou à des plages d’adresses IP.

• Limites : 200 blocs CIDR maximum, 25 réseaux VPC par compartiment.

  En savoir plus

Créer la ressource de connexion directe du service Private Link

Private Link Service (PLS) Direct Connect crée une connectivité privée sortante de Azure à une adresse IP de destination. Pour GCS, l’adresse IP de destination est l’adresse IP du point de terminaison PSC dans votre VVP Google Cloud, accessible via votre VPN ou tunnel d’interconnexion.

• Dans le portail Azure, accédez à Home > Network Foundation > Private Link services.
• Sélectionnez Créer un service de liaison privée.
• Sous l’onglet Informations de base, sélectionnez la même région Azure que votre ressource Storage Mover.
• Sous l’onglet Paramètres sortants :
• Méthode de connexion : sélectionner l’adresse IP de destination
• Adresse IP : entrez l’adresse IP du point de terminaison GCP Private Service Connect (PSC) que vous avez enregistrée précédemment.
• Réseau virtuel NAT source : sélectionnez le réseau virtuel contenant votre Passerelle VPN Azure
• Sous-réseau NAT source : sélectionnez le sous-réseau avec une connectivité VPN à GCP
• Paramètres d’adresse IP privée : configurez au moins 2 adresses IP NAT (même nombre requis)
• Sous l’onglet Sécurité d’accès : sélectionnez le paramètre de visibilité approprié (le contrôle d’accès en fonction du rôle est uniquement le plus restrictif)
• Sélectionnez Vérifier + créer.

Créer et approuver des connexions privées

Après avoir créé la ressource PLS Direct Connect, créez une connexion privée dans Storage Mover et approuvez-la avant l’utilisation.

Créer une connexion privée

az storage-mover connection create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --private-link-service-id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --description "Private GCS connection"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.privateEndpointResourceId --output tsv

Approuver la connexion privée

az network private-endpoint-connection list --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService" --query "[].{name:name,id:id,privateEndpointId:properties.privateEndpoint.id}" --output table

az network private-endpoint-connection approve --id "/subscriptions/<subscription-id>/resourceGroups/network-rg/providers/Microsoft.Network/privateLinkServices/myPrivateLinkService/privateEndpointConnections/<private-endpoint-connection-name>" --description "Approved for Azure Storage Mover"

az storage-mover connection show --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --name "private-connection" --query properties.connectionStatus --output tsv

Créer une tâche de migration avec des connexions privées

az storage-mover job-definition create --resource-group "c2c-migration-rg" --storage-mover-name "myStorageMover" --project-name "my-migration-project" --job-definition-name "my-job-definition" --job-type CloudToCloud --copy-mode Additive --source-name "my-gcs-endpoint" --target-name "my-blob-endpoint" --source-subpath "/" --target-subpath "/" --connections "/subscriptions/<subscription-id>/resourceGroups/c2c-migration-rg/providers/Microsoft.StorageMover/storageMovers/myStorageMover/connections/private-connection" --description "Private GCS to Azure Blob Storage"

Troubleshooting

Connectivité et adressage IP

• Vérifiez l’adresse IP de destination dans Azure PLS : vérifiez que PLS Direct Connect pointe vers votre adresse IP du point de terminaison GCP PSC. L’incompatibilité empêche la connectivité.
• Valider le chemin réseau : confirmez que les tunnels Cloud VPN affichent l’état « Établi » dans Google Cloud Console > Connectivité hybride > VPN.
• Vérifiez BGP : vérifiez que les sessions BGP cloud Router sont actives et que vos sous-réseaux VPC (y compris le sous-réseau de point de terminaison PSC) sont publiés pour Azure.
• Vérifiez le point de terminaison PSC : vérifiez que l’état du point de terminaison PSC est connecté dans Google Cloud Console > Network Services > Private Service Connect.
• Vérifier l’alignement de la région : PLS Direct Connect et Storage Mover doivent se trouver dans la même région Azure. Authentification (HMAC)
• Vérifiez que la clé d’accès HMAC et la clé secrète dans Azure Key Vault sont actives et n’ont pas expiré.
• Vérifiez que l’identité gérée du point de terminaison source a le rôle Utilisateur de secrets Key Vault sur votre coffre de clés.
• Vérifiez que le compte de service GCS dispose au minimum des rôles Storage Legacy Bucket Reader et Storage Legacy Object Reader sur le bucket cible.
• Les clés HMAC fonctionnent uniquement avec l’API XML GCS (pas l’API JSON).
• Après avoir créé une clé HMAC, attendez jusqu’à 60 secondes avant qu’elle ne devienne active. Connexions privées
• Seules les connexions dans l’état « Approuvé » apparaissent dans l’assistant de tâche. Vérifiez l’état dans Points de terminaison de stockage > Connexions privées (préversion).
• Si l’état est En attente : sélectionnez la connexion et sélectionnez Approuver.
• Si l’état est déconnecté : la ressource PLS Direct Connect a peut-être été supprimée ou modifiée. Échec de la tâche de migration de résolution des problèmes. Consultez les journaux de copie et de tâche pour connaître les messages d’erreur. Causes courantes : informations d’identification non valides, connectivité réseau. Erreur d’authentification : vérifiez que les clés HMAC dans Key Vault sont correctes et actives. Vérifiez que le rôle Key Vault Secrets User est attribué. Erreur d’autorisation sur la cible. Vérifiez que l’identité managée du point de terminaison cible dispose du rôle Contributeur aux données Blob du stockage sur le conteneur d’objets blob. Le transfert de données est lent. Vérifiez la bande passante du réseau. GCS peut limiter les demandes d’API compatibles S3. Ajoutez d’autres connexions privées. Les objets manquants après la synchronisation des horodatages GCS ont une granularité de second niveau. Les objets modifiés dans la même seconde que la dernière synchronisation peuvent ne pas être détectés avant l’exécution suivante. L’URL source rejetée Vérifiez que l’URL utilise HTTPS, aucun paramètre de requête ni fragments. Utilisez un nom de domaine complet valide.

Limites connues

• 10 connexions privées maximum par abonnement et par région (approuvées, en attente et déconnectées confondues). Pour plus d’informations, consultez Configurer Private Link Service Direct Connect.
• PLS Direct Connect doit être configuré dans la même région que la ressource Storage Mover.
• La planification n’est pas disponible pour le type de source GCS. Les travaux doivent être exécutés manuellement.
• Chaque travail de migration prend en charge le transfert d’un maximum de 500 millions d’objets.
• Seul l’accès HTTPS à la source compatible S3 est pris en charge.
• La source compatible S3 doit prendre en charge l’authentification AWS Signature Version 4 (SigV4).
• 10 clés HMAC maximales par compte de service GCS.

Performance

Les benchmarks suivants ont été mesurés à l’aide de Passerelle VPN Azure avec plusieurs tunnels IPsec combinés à des connexions privées Storage Mover :

Prerequisites

Prérequis pour Azure

• Un abonnement Azure actif avec les autorisations nécessaires pour créer et gérer des ressources stockage Azure Mover.
• Ressource Storage Mover déployée dans votre abonnement Azure.
• Un Azure Key Vault pour stocker vos clés secrètes client OCI (clé d’accès et clé secrète).
• Connaissance de la hiérarchie des ressources d’stockage Azure Mover.

Prérequis OCI

• Une location Oracle Cloud Infrastructure (OCI) avec accès au compartiment Object Storage que vous souhaitez migrer.
• Clés secrètes client générées pour un utilisateur OCI (ID de clé d’accès + clé secrète).
• Un réseau cloud virtuel OCI (VCN) avec connectivité à Azure (via VPN Site-to-Site ou FastConnect).
• Une politique IAM accordant à l’utilisateur ou au groupe un accès de lecture aux buckets et objets cibles (par exemple : Allow group <G> to read buckets in compartment <C> et Allow group <G> to read objects in compartment <C>).
• Un point de terminaison privé OCI Object Storage (ou Service Gateway) qui fournit une IP privée stable pour l’accès au stockage objet à l’intérieur de votre VCN.

Conditions préalables à la mise en réseau privée

• Une ressource Private Link Service Direct Connect configurée dans Azure avec l’adresse IP du point de terminaison privé OCI Object Storage comme destination.
• Connaissance de la documentation de mise en réseau Azure Private Link.

Options de connectivité réseau privé

Pour migrer des données depuis un seau OCI restreint par VCN, vous avez d’abord besoin d’un chemin réseau privé entre votre VCN OCI et Azure. Azure prend en charge plusieurs options de connectivité :

Pour la plupart des scénarios, le VPN de site à site offre un bon équilibre entre les coûts et les performances. Pour un débit élevé, utilisez ExpressRoute associé à OCI FastConnect.

Options de connectivité dans Azure

ExpressRoute

En savoir plus :Documentation ExpressRoute

Routage: Le protocole BGP est couramment utilisé sur des circuits privés pour échanger des préfixes entre Azure et votre réseau.

Fournisseurs de connectivité : ExpressRoute est généralement approvisionné via un fournisseur de colocalisation ou de connectivité (par exemple, Equinix, Megaport).

VPN IPsec de site à site (Passerelle VPN Azure)

Aperçu: Utilisez la passerelle VPN Azure pour les tunnels IPsec de site à site chiffrés sur l’Internet public. Pour bénéficier d’un débit accru et d’une meilleure résilience, sélectionnez une référence SKU adaptée, par exemple des références SKU de deuxième génération et à redondance de zone lorsqu’elles sont disponibles.

En savoir plus :Tutoriel - Créer une connexion VPN S2S

Routage: Utilisez BGP pour échanger des itinéraires et prendre en charge des tunnels actifs/actifs sur plusieurs connexions.

Conseils d’implémentation (performances VPN)

Exemples de paramètres IPsec/IKE personnalisés (valider par rapport à la compatibilité de votre appareil) : GCMAES256 pour le chiffrement/intégrité IPsec, SHA256 pour l’intégrité IKE, DHGroup14, PFS2048.

En savoir plus :Configurer des stratégies de connexion IPsec/IKE personnalisées.

Configurez le VPN site-à-site entre Azure et OCI

Du côté OCI :

• Créez une passerelle de routage dynamique (DRG) et reliez-la à votre VCN.
• Créez un objet équipement des locaux du client (CPE) pour chaque adresse IP publique de la passerelle VPN Azure.
• Créez une connexion IPSec (VPN-à-Site) avec des tunnels vers les adresses IP publiques de Passerelle VPN Azure.
• Configurez BGP (ou routage statique) sur le DRG en utilisant les IP pairs BGP échangées avec Azure.
• Assurez-vous que le sous-réseau privé du point d’accès Object Storage est accessible depuis Azure via le tunnel VPN ; annoncez vos sous-réseaux VCN à Azure via BGP.

En savoir plus :VPN OCI Site-to-Site

Configurer l’accès privé au stockage d’objets OCI

Un point de terminaison privé OCI Object Storage (ou Service Gateway) fournit une adresse IP privée stable à l’intérieur de votre VCN pour accéder à Object Storage. Cette adresse IP est la destination que vous configurez dans Azure Private Link Service Direct Connect.

• Dans la console OCI, accédez à Réseautage>, puis créez un point de terminaison privé Object Storage dans votre VCN.
• Attribuez une adresse IP privée depuis votre sous-réseau VCN.
• Enregistrez cette adresse IP privée. Vous en avez besoin lors de la configuration de la ressource Azure PLS Direct Connect.

Restreindre l’accès au bucket OCI (optionnel)

• Utilisez les politiques OCI IAM pour accorder un accès de lecture à privilège minimum, et réglez la visibilité du compartiment en privé.
• Si vous le souhaitez, restreignez l’accès à votre VCN à l’aide du point de terminaison privé Object Storage et des règles de sécurité réseau.

Créer la ressource de connexion directe du service Private Link

Private Link Service (PLS) Direct Connect crée une connectivité privée sortante de Azure à une adresse IP de destination. Pour OCI, l’IP de destination est l’IP privée du point de terminaison OCI Object Storage dans votre VCN, accessible via votre VPN ou votre tunnel FastConnect.

• Dans le portail Azure, accédez à Accueil>Fondation réseau>Services Private Link.
• Sélectionnez Créer un service de liens privés.
• Dans l’onglet Basiques, sélectionnez la même région Azure que votre ressource Storage Mover.
• Dans l’onglet Paramètres sortants :
  • Méthode de connexion : sélectionnez Adresse IP de destination.
  • Adresse IP : saisissez l’adresse IP du point de terminaison privé OCI Object Storage que vous avez enregistrée précédemment.
  • Source NAT Réseau virtuel : sélectionnez le VNet contenant votre Passerelle VPN Azure.
  • Sous-réseau NAT source : sélectionnez le sous-réseau avec la connectivité VPN à OCI.
  • Paramètres d’adresse IP privée : configurez au moins 2 IP NAT (nombre pair requis).
• Dans l’onglet Sécurité d’accès : sélectionnez le réglage de visibilité approprié (le contrôle d’accès basé uniquement sur les rôles est le plus restrictif).
• Sélectionnez Vérifier + créer.

Créer et approuver des connexions privées

Après avoir créé la ressource PLS Direct Connect, créez une connexion privée dans Storage Mover et approuvez-la avant l’utilisation.

Créer une connexion privée

1. Accédez à votre ressource Storage Mover dans le portail Azure.
2. Dans Gestion des ressources, sélectionnez Terminaux de stockage.
3. Sélectionnez l’onglet Connexions privées (Aperçu ).
4. Sélectionner Ajouter des connexions privées.
5. Entrez un nom pour la connexion privée.
6. Sélectionnez la ressource Private Link Service Direct Connect que vous avez créée.
7. Cliquez sur Créer. L’approvisionnement prend 20 à 30 secondes. Actualisez pour afficher la connexion dans la grille.

Approuver la connexion privée

1. Cochez la case en regard de votre connexion privée nouvellement créée.
2. Sélectionnez Approuver.
3. Attendez que le statut de connexion du service de lien privé change en Approuvé.

Créer une tâche de migration avec des connexions privées

Onglet Informations de base

• Point de terminaison source : sélectionnez un point source existant compatible OCI S3, ou sélectionnez Ajouter point de terminaison source pour en créer un.
• Terminaison cible : sélectionnez un point de terminaison cible Stockage Blob Azure existant, ou sélectionnez Ajouter un point de terminaison cible.
• Dans la section Connexions privées (Aperçu), sélectionnez Ajouter pour associer des connexions privées approuvées à ce travail. Vous pouvez associer plusieurs connexions privées pour l’équilibrage de charge.
• Les étapes restantes du travail sont les mêmes que celles d’une migration publique d’OCI vers Blob.

Troubleshooting

Connectivité et adressage IP

• Vérifiez l’adresse IP de destination dans Azure PLS : assurez-vous que PLS Direct Connect pointe vers l’adresse IP de votre point de terminaison privé OCI Object Storage. Un décalage empêche la connectivité.
• Valider le chemin réseau : confirmez que les tunnels VPN Site à Site OCI (ou le circuit virtuel FastConnect) affichent un statut Up dans la console OCI.
• Vérifiez le routage : confirmez que les sessions BGP DRG sont établies et que vos sous-réseaux VCN (y compris le sous-réseau privé des points de terminaison) sont annoncés sur Azure.
• Vérifier le point de terminaison privé : confirmer que le point de terminaison privé OCI Object Storage est actif et se résout vers l’IP privée attendue.
• Vérifier l’alignement de la région : PLS Direct Connect et Storage Mover doivent être dans la même région Azure.

Authentication

• Vérifiez que la clé d’accès et la clé secrète (OCI Customer Secret Keys) dans Azure Key Vault sont actives et correctes.
• Confirmez que l’identité gérée par le point de terminaison source a le rôle Key Vault Secrets User sur votre Key Vault.
• Confirmez que l’utilisateur ou le groupe OCI dispose d’une politique IAM accordant l’accès en lecture aux buckets et objets cibles.
• Si l’initialisation client S3 échoue, utilisez des URL de type chemin pour les seaux dont les noms contiennent _ ou ..

Limites connues

• 10 connexions privées maximum par abonnement et par région (approuvées, en attente et déconnectées confondues).
• PLS Direct Connect doit être configuré dans la même région que la ressource Storage Mover.
• La planification n’est pas disponible pour le type source OCI. Les travaux doivent être exécutés manuellement.
• Chaque travail de migration prend en charge le transfert d’un maximum de 500 millions d’objets.
• Seul l’accès HTTPS à la source compatible S3 est pris en charge.
• La source compatible S3 doit prendre en charge l’authentification AWS Signature Version 4 (SigV4).
• Les buckets avec des noms incompatibles avec le DNS (_, .) doivent utiliser des URL de type path.
• Les clés secrètes client par utilisateur OCI sont soumises aux limites de service OCI (par défaut est faible ; demande une augmentation si nécessaire). Vérifiez la limite actuelle dans la console OCI.

Performance

Les benchmarks suivants ont été mesurés en utilisant Passerelle VPN Azure avec plusieurs tunnels IPsec combinés à des connexions privées Storage Mover. Le débit réel dépend de vos limites VCN, VPN/FastConnect et stockage d’objets.

• Consultez les concepts et la planification dans la documentation ExpressRoute.
• Créer une connexion VPN de site à site dans Azure : tutoriel : Créer une connexion VPN S2S.
• Pour BGP entre Azure et AWS, suivez : Tutoriel : Configurer une connexion compatible BGP entre Azure et AWS.

• Prise en main de la migration source compatible GCS S3
• Créer un VPN haute disponibilité pour Azure
• Connexion au service privé

Nous avons besoin de liens « étape suivante » pour la migration d’Oracle.