Configurez les points de terminaison réseau pour les partages de fichiers Azure

Sur la page Ressources, sélectionnez Microsoft. Storage/storageAccounts depuis le menu déroulant pour Type de ressource. Pour Ressource, sélectionnez le compte de stockage spécifique auquel vous souhaitez vous connecter. Pour la sous-ressource cible, sélectionnez file. Sélectionnez ensuite Suivant : réseau virtuel.

Sur la page Ressources, sélectionnez Microsoft. FileShares/fileShares depuis le menu déroulant pour le type de ressource. Pour Ressource, sélectionnez le partage de fichiers spécifique auquel vous souhaitez vous connecter. La sous-ressource cible se remplit automatiquement avec FileShare. Sélectionnez ensuite Suivant : réseau virtuel.

Obtenez une référence au compte de stockage :

$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"

$storageAccountParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    ErrorAction = "SilentlyContinue"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

if ($null -eq $storageAccount) {
    $errorMessage = "Storage account $storageAccountName not found "
    $errorMessage += "in resource group $storageAccountResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName

Obtenez une référence au partage de fichiers :

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

$fileShareParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    ErrorAction = "SilentlyContinue"
}
$fileShare = Get-AzFileShare @fileShareParams

if ($null -eq $fileShare) {
    $errorMessage = "File share $fileShareName not found "
    $errorMessage += "in resource group $fileShareResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Extract hostName and hostNamePrefix for DNS record
$hostName = $fileShare.HostName
$hostNamePrefix = $hostName.Split('.')[0]

# Set common variables for private endpoint creation
$resourceGroupName = $fileShareResourceGroupName
$privateLinkResourceId = $fileShare.Id
$groupId = "FileShare"
$dnsRecordName = $hostNamePrefix

Obtenez une référence au compte de stockage :

storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"

# Get storage account ID
privateLinkResourceId=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "id" --output tsv)

# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName

Obtenez une référence au partage de fichiers :

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "id" --output tsv)

hostName=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "properties.hostName" --output tsv)

hostNamePrefix=$(echo $hostName | cut -d'.' -f1)

# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix

Remplacez <storage-account-name> par le nom approprié du compte de stockage :

nslookup <storage-account-name>.file.core.windows.net

Si elle réussit, vous voyez la sortie similaire à la suivante, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel (sortie indiquée pour Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Utilisez le nom d’hôte du partage de fichiers. Sur la page d’aperçu du partage de fichiers, sélectionnez Vue JSON. Sous properties, copiez la valeur de hostName. Le format ressemble à fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.net.

nslookup <file-share-host-name>

Si elle réussit, vous voyez la sortie similaire à la suivante, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel (sortie indiquée pour Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    <hostNamePrefix>.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  <hostNamePrefix>.<zone>.file.storage.azure.net

$storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.File) |
    Select-Object -ExpandProperty Host

$storageAccountHostName

Sur un client dans le réseau virtuel, exécutez la commande suivante. Remplacez <host-name> par le nom d’hôte de l’étape précédente.

Resolve-DnsName -Name "<host-name>"

Si elle réussit, vous voyez la sortie similaire à ce qui suit, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel.

Name                             Type   TTL   Section    NameHost
----                             ----   ---   -------    --------
storageaccount.file.core.windows CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
.net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

$fileShare.HostName

Sur un client dans le réseau virtuel, exécutez la commande suivante. Remplacez <host-name> par le nom d’hôte de l’étape précédente.

Resolve-DnsName -Name "<host-name>"

Si elle réussit, vous voyez la sortie similaire à ce qui suit, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel.

Name                                       Type   TTL   Section    NameHost
----                                       ----   ---   -------    --------
<hostNamePrefix>.<zone>.file.storage.azur  CNAME  60    Answer     <hostNamePrefix>.privatelink.file.core.windows.net
e.net

Name       : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

httpEndpoint=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "primaryEndpoints.file" --output tsv)

hostName=${httpEndpoint#https://}
hostName=${hostName%/}
echo $hostName

Sur un client dans le réseau virtuel, exécutez la commande suivante. Remplacez <host-name> par le nom d’hôte de l’étape précédente.

nslookup <host-name>

Si elle réussit, vous voyez la sortie similaire à ce qui suit, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
storageaccount.file.core.windows.net      canonical name = storageaccount.privatelink.file.core.windows.net.
Name:   storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5

hostName=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "properties.hostName" --output tsv)

echo $hostName

Sur un client dans le réseau virtuel, exécutez la commande suivante. Remplacez <host-name> par le nom d’hôte de l’étape précédente.

nslookup <host-name>

Si elle réussit, vous voyez la sortie similaire à ce qui suit, où 192.168.0.5 est l’adresse IP privée du point de terminaison privé dans votre réseau virtuel.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net      canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name:   <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5

Pour désactiver l’accès public au réseau pour les partages de fichiers classiques, suivez ces étapes :

1. Allez au compte de stockage où vous souhaitez restreindre tout accès entrant au point de terminaison public.
2. Dans le menu du service, sous Sécurité + réseau, sélectionnez Mise en réseau.
3. Sous Accès au réseau public, sélectionnez Gérer.
4. Sélectionnez Désactiver, puis sélectionnez Continuer.
5. Cliquez sur Enregistrer.

Accédez au partage de fichiers dans lequel vous souhaitez désactiver l’accès public. Dans le menu du service, sous Paramètres, sélectionnez Mise en réseau. Pour l’accès aux points de terminaison publics, sélectionnez Désactivé, puis sélectionnez Enregistrer.

Pour les partages de fichiers classiques, définissez -PublicNetworkAccess sur le compte de stockage Disabled.

# Use the storage account variables from the beginning of this article.
$publicNetworkAccessParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    PublicNetworkAccess = "Disabled"
    ErrorAction = "Stop"
}
Set-AzStorageAccount @publicNetworkAccessParams | Out-Null

Définissez -PublicNetworkAccess sur Disabled sur le partage de fichiers.

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

$publicNetworkAccessParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    PublicNetworkAccess = "Disabled"
}
Update-AzFileShare @publicNetworkAccessParams

Pour les partages de fichiers classiques, définissez --public-network-access sur le compte de stockage Disabled.

# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this article.
az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --public-network-access Disabled \
    --output none

Définissez --public-network-access sur Disabled sur le partage de fichiers.

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --public-network-access Disabled

Pour les partages de fichiers classiques, suivez ces étapes pour restreindre le point public à des réseaux spécifiques.

1. Allez sur le compte de stockage où vous souhaitez restreindre le point public à des réseaux spécifiques.
2. Dans le menu du service, sous Sécurité + réseau, sélectionnez Mise en réseau.
3. Sous Accès au réseau public, sélectionnez Gérer.
4. Sous Étendue de l’accès au réseau public, sélectionnez Activé à partir des réseaux sélectionnés, puis sélectionnez Enregistrer.
5. Sous Paramètres des ressources : Réseaux virtuels, adresses IP et exceptions, sélectionnez Gérer.
6. Dans la section Réseaux virtuels, sélectionnez Ajouter un réseau virtuel> ou Ajouter un réseau virtuel existant. Sélectionnez le réseau virtuel et les sous-réseaux. Si un sous-réseau n'a pas le Microsoft.Storage point de terminaison du service, sélectionnez Activer et attendez la fin de l'opération. Ensuite, cliquez sur Ajouter.
7. Pour l’accès SMB ou FileREST, sous Adresses IPv4, saisissez les adresses IP publiques ou les plages que vous souhaitez autoriser. Les règles d’adresse IP n’accordent pas l’accès NFS.
8. Si une intégration de service nécessite un accès approuvé aux services, sous Exceptions, sélectionnez Autoriser les services Microsoft approuvés à accéder à cette ressource.
9. Cliquez sur Enregistrer.

Pour Microsoft.FileShares, suivez ces étapes pour restreindre le point de terminaison public à des réseaux spécifiques.

1. Accédez au partage de fichiers dans lequel vous souhaitez restreindre l’accès public.
2. Dans le menu du service, sous Paramètres, sélectionnez Mise en réseau.
3. Assurez-vous que l’accès aux points de terminaison publics est réglé sur Activé.
4. Dans la section Restrictions du point de terminaison public, sélectionnez Ajouter un réseau virtuel. Sélectionnez le réseau virtuel et les sous-réseaux. Si un sous-réseau n'a pas le Microsoft.Storage point de terminaison du service, sélectionnez Activer et attendez la fin de l'opération. Ensuite, cliquez sur Ajouter.
5. Cliquez sur Enregistrer.

Pour les partages de fichiers classiques, limitez l’accès au point de terminaison public du compte de stockage à des réseaux virtuels spécifiques à l’aide de points de terminaison de service. Tout d’abord, collectez des informations sur le compte de stockage et le réseau virtuel. Remplacez les valeurs d’espace réservé dans les étapes suivantes par vos propres valeurs.

$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$storageAccountParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    ErrorAction = "Stop"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$virtualNetworkParams = @{
    ResourceGroupName = $restrictToVirtualNetworkResourceGroupName
    Name = $restrictToVirtualNetworkName
    ErrorAction = "Stop"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnet = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object { $_.Name -eq $subnetName }

if ($null -eq $subnet) {
    $errorMessage = "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

Pour autoriser le trafic à partir du réseau virtuel, l'infrastructure réseau Azure doit exposer le Microsoft.Storage point de terminaison de service au sous-réseau du réseau virtuel. Les commandes PowerShell suivantes ajoutent le point de terminaison de service Microsoft.Storage au sous-réseau s'il n'y est pas déjà.

$serviceEndpoints = $subnet |
    Select-Object -ExpandProperty ServiceEndpoints |
    Select-Object -ExpandProperty Service

if ($serviceEndpoints -notcontains "Microsoft.Storage") {
    # Change the subnet object directly so the subnet keeps its delegations
    # and service endpoint policies.
    $storageEndpointParams = @{
        TypeName = "Microsoft.Azure.Commands.Network.Models.PSServiceEndpoint"
        Property = @{ Service = "Microsoft.Storage" }
    }
    $storageEndpoint = New-Object @storageEndpointParams
    $subnet.ServiceEndpoints = @($subnet.ServiceEndpoints | Where-Object { $_ }) + $storageEndpoint

    $virtualNetwork = $virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop
}

La dernière étape pour restreindre le trafic vers le compte de stockage consiste à créer une règle de réseau virtuel et à l’ajouter à l’ensemble de règles réseau du compte de stockage.

$networkRuleParams = @{
    VirtualNetworkResourceId = $subnet.Id
    ErrorAction = "Stop"
}
$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule @networkRuleParams

$networkRuleSetParams = @{
    DefaultAction = "Deny"
    VirtualNetworkRule = $networkRule
    WarningAction = "SilentlyContinue"
    ErrorAction = "Stop"
}
$storageAccount | Update-AzStorageAccountNetworkRuleSet @networkRuleSetParams | Out-Null

Ces commandes préservent les paramètres de contournement existants. Si une intégration nécessite un accès à un service de confiance, ajoutez -Bypass AzureServices à la commande update. Le paramètre remplace le paramètre de contournement, donc incluez toutes les autres options de contournement dont votre charge de travail a encore besoin.

Pour l’accès SMB ou FileREST depuis Internet, vous pouvez également autoriser des adresses IP publiques ou des plages. Les règles d'adresse IP ne s'appliquent pas aux clients dans la même région Azure que le compte de stockage. Pour d’autres restrictions, voir les règles d’adresse IP.

$ipAddressOrRange = "<public-ip-address-or-cidr-range>"

$ipRuleParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    IPAddressOrRange = $ipAddressOrRange
    ErrorAction = "Stop"
}
Add-AzStorageAccountNetworkRule @ipRuleParams | Out-Null

Passez les identifiants de ressources de sous-réseau autorisés à Update-AzFileShare en utilisant -AllowedSubnet. Les règles réseau s’appliquent directement au partage de fichiers, donc il n’y a pas de compte de stockage à configurer. Le sous-réseau client doit déjà avoir le Microsoft.Storage point de terminaison du service.

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$virtualNetworkParams = @{
    ResourceGroupName = $virtualNetworkResourceGroupName
    Name = $virtualNetworkName
}
$subnet = Get-AzVirtualNetwork @virtualNetworkParams |
    Select-Object -ExpandProperty Subnets |
    Where-Object { $_.Name -eq $subnetName }

$allowedSubnetParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    AllowedSubnet = @($subnet.Id)
}
Update-AzFileShare @allowedSubnetParams

Pour les partages de fichiers classiques, limitez l’accès au point de terminaison public du compte de stockage à des réseaux virtuels spécifiques à l’aide de points de terminaison de service. Tout d’abord, collectez des informations sur le compte de stockage et le réseau virtuel. Remplacez les valeurs d’espace réservé dans les étapes suivantes par vos propres valeurs.

storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

storageAccount=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "id" --output tsv)

virtualNetwork=$(az network vnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --name $restrictToVirtualNetworkName \
    --query "id" --output tsv)

subnet=$(az network vnet subnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --vnet-name $restrictToVirtualNetworkName \
    --name $subnetName \
    --query "id" --output tsv)

Pour autoriser le trafic à partir du réseau virtuel, l'infrastructure réseau Azure doit exposer le Microsoft.Storage point de terminaison de service au sous-réseau du réseau virtuel. Les commandes CLI suivantes ajoutent le point de terminaison de service Microsoft.Storage au sous-réseau s'il n'y est pas déjà.

serviceEndpoints=$(az network vnet subnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --vnet-name $restrictToVirtualNetworkName \
    --name $subnetName \
    --query "serviceEndpoints[].service" \
    --output tsv)

foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
    if [ $serviceEndpoint = "Microsoft.Storage" ]
    then
        foundStorageServiceEndpoint=true
    fi
done

if [ $foundStorageServiceEndpoint = false ]
then
    serviceEndpointList=""

    for serviceEndpoint in $serviceEndpoints
    do
        serviceEndpointList+=$serviceEndpoint
        serviceEndpointList+=" "
    done

    serviceEndpointList+="Microsoft.Storage"

    az network vnet subnet update \
        --ids $subnet \
        --service-endpoints $serviceEndpointList \
        --output none
fi

La dernière étape pour restreindre le trafic vers le compte de stockage consiste à créer une règle réseau virtuelle et à l’ajouter à l’ensemble de règles réseau du compte de stockage.

az storage account network-rule add \
    --resource-group $storageAccountResourceGroupName \
    --account-name $storageAccountName \
    --subnet $subnet \
    --output none

az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --default-action "Deny" \
    --output none

Ces commandes préservent les paramètres de contournement existants. Si une intégration nécessite un accès à un service de confiance, ajoutez --bypass AzureServices à la commande update. L'option remplace le paramètre de contournement, donc incluez toutes les autres options de contournement dont votre charge de travail a encore besoin.

Pour l’accès SMB ou FileREST depuis Internet, vous pouvez également autoriser des adresses IP publiques ou des plages. Les règles d'adresse IP ne s'appliquent pas aux clients dans la même région Azure que le compte de stockage. Pour d’autres restrictions, voir les règles d’adresse IP.

ipAddressOrRange="<public-ip-address-or-cidr-range>"

az storage account network-rule add \
    --resource-group $storageAccountResourceGroupName \
    --account-name $storageAccountName \
    --ip-address $ipAddressOrRange \
    --output none

Passez les identifiants de ressources de sous-réseau autorisés à az fileshare update en utilisant --allowed-subnets. Les règles réseau s’appliquent directement au partage de fichiers, donc il n’y a pas de compte de stockage à configurer. Le sous-réseau client doit déjà avoir le Microsoft.Storage point de terminaison du service.

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

subnetId=$(az network vnet subnet show \
    --resource-group $virtualNetworkResourceGroupName \
    --vnet-name $virtualNetworkName \
    --name $subnetName \
    --query "id" --output tsv)

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --allowed-subnets $subnetId