considérations relatives à la mise en réseau Azure Files

✔️ S'applique à : Tous les partages de fichiers Azure

Cet article décrit les décisions réseau à prendre avant de déployer Azure Files : comment protéger les données en transit, comment les clients se connectent à un partage de fichiers, et comment contrôler les accès entrants et sortants. Pour les étapes de configuration, voir Configurer les points de terminaison réseau pour les partages de fichiers Azure. Pour d’autres décisions de déploiement, voir Planifier un déploiement Azure Files.

Les options disponibles dépendent du fournisseur de ressources que vous utilisez pour créer le partage de fichiers, ainsi que du protocole utilisé par les clients. Les partages de fichiers classiques (Microsoft.Storage) prennent en charge SMB, NFS et FileREST. Les partages de fichiers créés avec Microsoft.FileShares ne prennent en charge que NFS. Pour d’autres différences entre les fournisseurs de ressources, voir concepts de gestion Azure Files.

Le tableau suivant montre comment les clients peuvent accéder à un partage de fichiers, par localisation et protocole du client :

• SMB communique via le port TCP 445. Certaines organisations et fournisseurs d’accès internet bloquent le trafic sortant sur ce port. Les clients qui ne peuvent pas utiliser le port 445 peuvent se connecter via un VPN ou ExpressRoute, ou utiliser SMB via QUIC via Azure File Sync.
• Le NFS utilise l’authentification basée sur le réseau, donc il ne supporte pas l’accès depuis des clients internet.

Chiffrement en transit

Le chiffrement en transit protège les données entre les clients et Azure Files contre toute interception et modification, y compris par un attaquant intermédiaire. Il s’applique au trafic passant à la fois par des points de terminaison publics et privés.

• SMB : SMB 3.x protège les données grâce au chiffrement des canaux SMB. Azure Files prend en charge AES-128-CCM avec SMB 3.0, ainsi que AES-128-GCM et AES-256-GCM avec SMB 3.1.1. Le client et le service négocient l’algorithme parmi les algorithmes qu’ils autorisent tous deux. SMB 2.1 ne prend pas en charge le chiffrement des canaux. Si vous restreignez les algorithmes autorisés, certains clients ne peuvent pas se connecter. Par exemple, les anciens clients Windows ne prennent pas en charge AES-256-GCM.
• NFS : les partages de fichiers NFS chez chacun des deux fournisseurs de ressources prennent en charge le chiffrement en transit via un tunnel TLS. L' assistant de montage AzNFS utilise stunnel pour transporter le trafic NFS via une connexion TLS 1.2 ou TLS 1.3, et valide le certificat du serveur. Les applications utilisent le protocole NFS sans modifications. TLS n’ajoute pas d’authentification basée sur l’utilisateur à NFS.
• FileREST : FileREST protège les données en transit via HTTPS, avec TLS 1.2 ou TLS 1.3. Les nouveaux comptes de stockage nécessitent par défaut le HTTPS et rejettent les requêtes HTTP non chiffrées. Gardez cette condition activée. Vous pouvez aussi définir une version TLS minimale.

Les exigences et les paramètres par défaut de chiffrement dépendent du fournisseur de ressource. Pour les voir et les modifier, voir :

• Partages de fichiers classiques : Configurez le chiffrement en transit pour Azure Files. Pour restreindre les algorithmes de chiffrement SMB, voir Paramètres de sécurité SMB. Pour monter un partage de fichiers NFS avec chiffrement, voir Monter un partage NFS classique en utilisant l’aide au montage AzNFS.
• Microsoft.FileShares : Exigences de chiffrement lors de la création d’un partage de fichiers et Mettre à jour les propriétés du partage de fichiers avec PowerShell ou Azure CLI.

Chemins de connexion

Un client atteint un partage de fichiers via le point de terminaison public ou un point de terminaison privé. Les deux terminaux utilisent le même nom d’hôte. La résolution DNS détermine quel point de terminaison un client utilise.

Point de terminaison public

Un point de terminaison public possède une adresse IP publique. Une adresse publique n’implique pas un accès non restreint : les exigences du protocole, les contrôles d’accès entrants et l’autorisation déterminent si une requête est autorisée.

Chaque protocole a ses propres limites d’accès aux points de terminaison publics, distinctes des règles réseau que vous configurez :

• SMB : Les connexions SMB 3.x chiffrées peuvent provenir de clients à l’intérieur ou à l’extérieur d’Azure. Azure Files ne les limite que par authentification et autorisation. Les connexions SMB non chiffrées sont limitées aux clients de la même région Azure et nécessitent une configuration permettant un accès non chiffré. Les clients se trouvant dans cette région mais en dehors de vos réseaux virtuels peuvent également se connecter. Si vous autorisez les SMB non chiffrés, restreignez le point de terminaison public en utilisant des règles réseau.
• NFS : les clients ne peuvent accéder au point de terminaison de service que via un point de terminaison public. Les règles réseau du partage de fichiers doivent autoriser le sous-réseau client. Le NFS ne supporte pas l’accès direct depuis les clients internet.
• FileREST : Les requêtes peuvent provenir de clients internes ou externes à Azure. Azure Files ne les limite que par authentification et autorisation. Par défaut, Azure Files rejette également les requêtes HTTP non chiffrées.

Points de terminaison de service

Un point de terminaison de service permet aux clients d’un sous-réseau réseau virtuel d’utiliser le point de terminaison public lorsque les règles réseau le restreignent à des sous-réseaux sélectionnés. Le trafic du sous-réseau est envoyé vers Azure Files via la dorsale Azure, mais il utilise toujours l'adresse IP du point public de terminaison. La couche réseau identifie le sous-réseau source de ce trafic, afin que Azure Files puisse vérifier le sous-réseau par rapport aux règles réseau. Pour permettre un sous-réseau, ajoutez une règle de réseau virtuel pour celui-ci.

Routage réseau de point de terminaison public

La préférence de routage n’est disponible que pour les partages de fichiers HDD classiques qui utilisent le modèle de facturation avec paiement à l’utilisation dans des comptes de stockage StorageV2. Elle n'est pas pris en charge pour les partages de fichiers provisionnés dans les comptes de stockage FileStorage ni pour Microsoft.FileShares.

Pour ces comptes pay-as-you-go, la préférence de routage détermine comment le trafic internet atteint le point de terminaison public :

• Routage Microsoft (par défaut) : Le trafic entre le client et le compte de stockage circule sur la dorsale réseau globale de Microsoft aussi longtemps que possible avant d’aller vers Internet. Cette option prend en charge les scénarios d’adhésion à un domaine Active Directory (AD) et Azure File Sync.
• Routage Internet : Le trafic passe par l’internet public le plus tôt possible. Cette option ne prend pas en charge les scénarios de jointure de domaine AD ni Azure File Sync.

Pour vérifier ou modifier la préférence de routage, voir Configurer la préférence de routage.

Points de terminaison privés

Un point de terminaison privé donne à la ressource (un compte de stockage ou un partage de fichiers Microsoft. FileShares) une adresse IP privée dans un sous-réseau de votre réseau virtuel. Les clients peuvent atteindre cette adresse depuis le même réseau virtuel, depuis des réseaux virtuels appairés et depuis des réseaux locaux qui se connectent au réseau virtuel via un VPN ou ExpressRoute. Pour donner accès depuis plus de réseaux virtuels, vous pouvez créer plus d’un point de terminaison privé pour la même ressource.

Le point public reste disponible après la création d’un point de terminaison privé. Pour n’autoriser l’accès que via des points de terminaison privés, désactivez l’accès au réseau public. Un point de terminaison privé ne limite pas non plus l’endroit où les clients peuvent envoyer le trafic. Pour ces contrôles, voir Contrôle d’accès sortant.

Pour créer un point de terminaison privé, consultez Créer un point de terminaison privé.

Se connecter depuis un environnement local

Les clients sur site peuvent atteindre un point de terminaison privé via un VPN ou une connexion de peering privé ExpressRoute. Cette approche s’applique à la fois aux SMB et aux NFS. Les clients SMB et FileREST peuvent également atteindre le point de terminaison public via Internet ou le peering Microsoft d’ExpressRoute. Si les règles réseau restreignent le point d’accès public, ajoutez une règle d’adresse IP pour les adresses IP publiques des clients.

Pour les PME, une connexion au point de terminaison public ne fonctionne souvent pas depuis des réseaux locaux. Cette limitation existe car SMB utilise le port TCP 445, et de nombreuses organisations et fournisseurs d’accès internet bloquent le trafic sortant sur ce port. Une connexion VPN ou ExpressRoute transporte le trafic SMB vers le point de terminaison privé à l’intérieur de la connexion, donc le blocage ne s’applique pas. Pour les clients PME sur site, prévoyez un point de terminaison privé avec une connexion VPN ou ExpressRoute, sauf si vous confirmez que votre réseau autorise le port TCP sortant 445 vers Azure.

Les options suivantes connectent les clients sur site à Azure :

• VPN point-to-site : Connecte un client individuel à un réseau virtuel Azure. Il prend en charge les utilisateurs et appareils distants qui ne sont pas connectés via le réseau de site d’une organisation. Pour les étapes de configuration, consultez Configurer les paramètres du serveur pour l’authentification des certificats P2S passerelle VPN.

• VPN site-à-site : Connecte le réseau d'une organisation à un réseau virtuel Azure via une passerelle VPN. Les clients du réseau connecté partagent cette connexion. Pour les étapes de configuration, voir le tutoriel : Créer une connexion VPN site-à-site dans le portail Azure.

• ExpressRoute : Le peering privé connecte un réseau sur site à des réseaux virtuels Azure sans passer par l’internet public. ExpressRoute ne chiffre pas le trafic par défaut. Utilisez le chiffrement en transit pour protéger les données des fichiers sur la connexion. Pour les options de connectivité, voir Qu’est-ce qu’Azure ExpressRoute ?.

• SMB sur QUIC : Achemine le trafic SMB via le port UDP 443, donc il fonctionne lorsque le port TCP 445 est bloqué. Azure Files ne prend pas en charge directement SMB via QUIC. Les clients se connectent à un cache Windows Server d’un partage de fichiers SMB classique, et Azure File Sync maintient le cache synchronisé avec le partage de fichiers. Le cache peut être sur site ou dans Azure. Le serveur de cache fournit le point de terminaison QUIC, et les clients ont besoin de la prise en charge de SMB sur QUIC. Pour plus d’informations, voir SMB sur QUIC dans la documentation Windows Server et SMB sur QUIC pour Azure File Sync.

  Le schéma suivant montre SMB sur QUIC avec un cache Azure File Sync :

  

Pour configurer l’accès des clients locaux via un point de terminaison privé, suivez ces étapes :

1. Créez un point de terminaison privé pour le partage de fichiers. Consultez Créer un point de terminaison privé.
2. Connectez le réseau ou le client sur site au réseau virtuel du point de terminaison privé avec l’une des options de la liste précédente.
3. Configurez le DNS de manière à ce que les clients locaux résolvent le nom d’hôte du partage de fichiers en l’adresse IP du point de terminaison privé. Voir Configurer le transfert de DNS pour Azure Files. Les clients point-to-site peuvent ne pas utiliser vos serveurs DNS sur site. Pour ces clients, ajoutez le redirecteur DNS ou le résolveur comme serveur DNS personnalisé dans le client VPN. Voir les paramètres optionnels du client VPN Azure.
4. Vérifiez que le nom d’hôte se résout à l’adresse IP du point de terminaison privé. Voir Vérifier que le transfert DNS fonctionne.
5. Montez le partage de fichiers. Voir Monter un partage de fichiers Azure SMB sur Windows, Monter un partage de fichiers Azure sur macOS, Monter des partages de fichiers Azure SMB sur des clients Linux, ou Monter des partages de fichiers Azure NFS sur Linux.

Résolution DNS

Les clients utilisent le même nom d’hôte pour le point de terminaison public et pour un point de terminaison privé. Le DNS détermine à quelle adresse IP le nom d’hôte se résout.

• Partages de fichiers classiques : Le nom de l’hôte est <storage-account-name>.file.core.windows.net.
• Microsoft.FileShares : chaque partage de fichiers possède son propre nom d’hôte généré, dans la propriété hostName du partage de fichiers. Le nom de l’hôte est distinct du nom de la ressource du partage de fichiers et de son nom de montage.

Lorsque vous créez un point de terminaison privé, l’enregistrement DNS public pour le nom hôte devient un alias (CNAME) pour un nom dans la privatelink.file.core.windows.net zone. Les clients dans un réseau virtuel relié à une zone DNS privée portant ce nom résolvent l’alias vers l’adresse IP du point de terminaison privé. D’autres clients résolvent l’alias vers l’adresse IP du point de terminaison public. Pour créer la zone DNS privée avec le point de terminaison privé, voir Créer un point de terminaison privé. Pour vérifier le résultat, voir Vérifier la connectivité.

Les clients sur site n'utilisent pas Azure DNS par défaut, donc une connexion VPN ou ExpressRoute seule ne leur offre pas de résolution privée. Transférez leurs requêtes DNS pour le domaine du partage de fichiers vers Azure via Azure DNS Private Resolver ou une machine virtuelle de redirecteur DNS. Pour les étapes, voir Configurer le transfert DNS pour Azure Files. Pour d’autres conceptions DNS sur site, voir Intégration DNS du point de terminaison privé Azure.

Les noms d’hôtes et de zones dans cette section concernent le cloud public Azure. D’autres clouds Azure utilisent un domaine différent, comme core.usgovcloudapi.net dans Azure Government. Pour les noms des zones DNS privées dans chaque cloud, voir Azure Private Endpoint valeurs des zones DNS privées.

Contrôle d’accès entrant

Les contrôles d’accès entrants déterminent quels clients peuvent accéder à un partage de fichiers :

• Le trafic des points de terminaison privés n’est pas soumis au paramètre d’accès réseau public, aux règles réseau ou à un périmètre de sécurité réseau.
• Le trafic des points de terminaison publics doit respecter le paramètre d’accès au réseau public. Si le compte de stockage est associé à un périmètre de sécurité réseau, les règles d’accès du périmètre ont priorité sur celles des règles du réseau. Sinon, ce sont les règles du réseau qui décident de l’accès.
• L’autorisation s’applique à chaque requête atteignant le partage de fichiers, via l’un ou l’autre point de terminaison.

Accès au réseau public

Vous pouvez désactiver l’accès au réseau public, ou le maintenir activé et le restreindre avec des règles réseau. Désactiver l’accès au réseau public empêche également l’accès client via les points de terminaison de service. L’accès aux points de terminaison privés est indépendant de ce paramètre. Pour les partages de fichiers classiques, les exceptions existantes pour les services de confiance et les instances de ressources restent en vigueur après avoir désactivé l’accès au réseau public.

Pour les étapes de configuration des deux fournisseurs de ressources, voir Restreindre l’accès aux points de terminaison publics.

Règles de réseau

Les règles réseau contrôlent quels clients peuvent atteindre le point de terminaison public. Il existe deux types :

• Les règles de réseau virtuel autorisent les clients dans un sous-réseau qui possède un point de terminaison de service. Les deux fournisseurs de ressources prennent en charge les règles de réseau virtuel. Les clients NFS ont besoin d’un point de terminaison de service, donc les règles réseau virtuels sont la façon dont vous les autorisez.
• Les règles d’adresse IP autorisent les clients par adresse IP publique. Seuls les partages de fichiers classiques prennent en charge les règles d’adresse IP, pour SMB et FileREST.

Les règles réseau s’appliquent à l’accès aux données via SMB, NFS et FileREST. Elles ne s'appliquent pas aux opérations de gestion via Azure Resource Manager, comme la création d'un partage de fichiers ou la modification de ses propriétés. Lorsque vous parcourez les données de fichiers dans le portail Azure, votre navigateur envoie des requêtes FileREST au point de terminaison du service de fichiers, donc les règles réseau doivent autoriser votre ordinateur. Pour les autorisations dont la navigation sur le portail a besoin, voir Autoriser l’accès aux données de fichiers dans le portail Azure.

Règles de réseau virtuel

Une règle de réseau virtuel permet le trafic provenant d’un sous-réseau qui possède un point de terminaison de service Microsoft.Storage ou Microsoft.Storage.Global. Les fournisseurs de ressources Microsoft.Storage (comptes de stockage) et Microsoft.FileShares utilisent ces noms de points de terminaison de service. Gardez à l’esprit les points suivants :

• Le sous-réseau peut se trouver dans une région différente de la ressource. Pour accéder depuis d’autres régions, utilisez le Microsoft.Storage.Global point de terminaison du service. Un sous-réseau ne peut avoir qu’un seul de ces deux points de terminaison de service.
• Le sous-réseau peut être dans un autre abonnement ou un locataire Microsoft Entra ID. Pour ajouter un sous-réseau provenant d’un autre locataire, utilisez Azure PowerShell ou Azure CLI. Le portail Azure n'affiche pas les sous-réseaux dans les autres tenants.
• Chaque ressource prend en charge jusqu’à 400 règles de réseau virtuel. Pour ajouter une règle, il faut disposer de l’autorisation Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action sur le sous-réseau.
• Supprimer un sous-réseau le retire des règles réseau du compte de stockage. Un nouveau sous-réseau portant le même nom n’a pas accès tant que vous ne l’avez pas ajouté aux règles réseau. (Partages de fichiers classiques uniquement.)
• Si vous prévoyez d’effectuer un basculement sur un compte de stockage géo-redondant, créez les réseaux virtuels dans la région secondaire avant d’en avoir besoin. Ajoutez des règles de réseau virtuel pour leurs sous-réseaux afin que les clients de ces réseaux virtuels puissent se connecter après un basculement. (Partages de fichiers classiques uniquement.)

Règles d’adresse IP

Les partages de fichiers classiques prennent en charge les règles d’adresse IP pour l’accès SMB et FileREST depuis Internet. Microsoft. FileShares ne prend pas en charge les règles d'adresse IP. Gardez à l’esprit les points suivants :

• Les règles d’adresses IP n’acceptent que les adresses IPv4 publiques. Vous ne pouvez pas ajouter de plages d’adresses privées, comme celles commençant par 10, 172.16 à 172.31, ou 192.168.
• Spécifier des plages d’adresses en notation CIDR, telles que 203.0.113.0/24. Les plages avec le préfixe /31 ou /32 ne sont pas prises en charge. Ajoutez ces adresses en tant que règles d’adresse IP individuelles.
• Les règles d’adresse IP n’ont aucun effet sur les requêtes provenant de clients dans la même région Azure que le compte de stockage, ni des clients dans un sous-réseau disposant d’un point de terminaison de service. Utilisez des règles de réseau virtuel pour ces clients. L’exception est une règle pour l’adresse IP d’un point de terminaison de service standard.
• Un compte de stockage prend en charge jusqu’à 400 règles d’adresses IP.
• Pour autoriser les clients d’un réseau sur site, ajoutez les adresses IP publiques que le réseau utilise pour le trafic internet. Si vous utilisez Azure ExpressRoute avec le peering Microsoft, ajoutez les adresses IP de traduction d’adresses réseau (NAT) utilisées par le peering Microsoft.

Exceptions pour les services Azure

Pour les partages de fichiers classiques, vous pouvez autoriser des services Azure qui ne peuvent pas utiliser de règles de réseau virtuel ou d’adresse IP :

• Services de confiance : L’exception Autoriser les services Microsoft approuvés à accéder à cette ressource permet à des services tels qu’Azure File Sync d’accéder à cette ressource. Activez-la uniquement lorsqu’une intégration l’exige. Pour la liste des services, voir Services Azure de confiance.
• Instances de ressource : Une règle d’instance de ressource permet à une ressource Azure spécifique dans votre locataire Microsoft Entra ID d’atteindre le point de terminaison public. La ressource a encore besoin d’une autorisation pour accéder aux données des fichiers.

Un périmètre de sécurité réseau est la nouvelle façon d’autoriser les services Azure. Il contrôle l’accès à de nombreuses ressources en un seul endroit. Nous recommandons de définir un périmètre lorsque les services que vous utilisez y sont intégrés. Vous pourriez encore avoir besoin de ces exceptions pour des services non intégrés, comme Sauvegarde Azure, ou si vous n’utilisez pas de périmètre réseau.

Microsoft. FileShares ne prend pas en charge ces exceptions.

Périmètre de sécurité réseau

Un périmètre de sécurité réseau place les ressources PaaS à l’intérieur d’une frontière logique et contrôle leur accès depuis le réseau public. Seuls les partages de fichiers classiques prennent en charge les périmètres de sécurité réseau.

Lorsque vous associez un compte de stockage à un périmètre, les règles d’accès du profil périmétrique l’emportent sur les règles réseau du compte de stockage. Le périmètre dispose de deux modes d’accès :

• Transition : Le mode par défaut. Si aucune règle de périmètre ne permet une connexion, les règles réseau propres au compte de stockage et les exceptions pour les services Azure s'appliquent. En utilisant des journaux de diagnostic, vous pouvez identifier le trafic que les règles de périmètre n’autorisent pas. Utilisez le mode Transition uniquement comme étape temporaire.
• Appliqué : seules les règles de périmètre s’appliquent. Les règles du réseau virtuel, les règles d'adresse IP et les exceptions pour les services Azure du compte de stockage ne s'appliquent pas. Pour permettre à un service Azure non intégré au périmètre de sécurité réseau, ajoutez une règle d'accès entrante basée sur l'abonnement.

Un périmètre détermine quels clients peuvent accéder au compte de stockage via le point de terminaison public. Il permet aux clients de deux manières :

• Ressource à ressource : Autres ressources PaaS dans le périmètre, et ressources Azure dans les abonnements qu’une règle entrante basée sur l’abonnement autorise. Le périmètre identifie ces clients par leur identité Microsoft Entra, que seules les requêtes OAuth portent. Pour Azure Files, cet accès s’applique uniquement à FileREST avec OAuth.
• Clients par adresse IP : Les règles IP entrantes permettent aux clients par adresse IP publique.
  • Les clients dans les réseaux virtuels Azure se connectent via un point de terminaison de service standard. Une règle basée sur l’IP pour l’adresse IP du point de terminaison du service permet SMB, NFS et FileREST. En mode appliqué, le périmètre bloque le trafic via les points de terminaison de service auxquels aucune adresse IP n’est attribuée.
  • Les clients hors d’Azure se connectent depuis leur adresse IP publique. Une règle basée sur l’IP pour cette adresse permet SMB et FileREST. NFS ne prend pas en charge les clients hors Azure.

Le trafic des points de terminaison privés n’est pas soumis aux règles de périmètre.

Le tableau suivant montre quelles règles entrantes s’appliquent à chaque protocole et méthode d’authentification :

Vérifiez ces intégrations avant d’associer un compte de stockage à un périmètre :

• Clés gérées par le client : Si le coffre de clés qui contient la clé gérée par le client se trouve dans un périmètre, placez le compte de stockage dans le même périmètre. Sinon, configurez le profil périphérique du coffre de clés pour autoriser le compte de stockage.
• Sauvegarde Azure : la Sauvegarde Azure n'est pas intégrée au périmètre de sécurité réseau. N'utilisez pas de périmètre pour les comptes de stockage qui utilisent Sauvegarde Azure.
• Azure File Sync : Vous ne pouvez pas associer un service de synchronisation de stockage à un périmètre. Configurez le service de synchronisation de stockage pour utiliser des identités gérées. Ajoutez ensuite une règle d’accès entrant basée sur l’abonnement qui autorise l’abonnement du service de synchronisation du stockage.

Pour associer un périmètre à un compte de stockage, voir Transition vers un périmètre de sécurité réseau dans Azure.

Points de terminaison de service standard

Un point de terminaison de service standard est un point de terminaison de service auquel une adresse IP publique lui est attribuée. Vous créez l'adresse IP publique et l'assignez au point de terminaison du service du Microsoft.Storage sous-réseau. stockage Azure utilise ensuite cette adresse pour identifier le trafic provenant du sous-réseau. L’adresse ne fait qu’étiqueter le trafic. Le trafic n’est pas acheminé à travers celui-ci, et les clients ne l’utilisent pas, donc l’adresse IP publique d’un client ne peut pas le remplacer. La documentation d'Azure Networking appelle cette adresse un identifiant réseau, et appelle un point de terminaison de service qui n’en possède pas un point de terminaison de service de base.

Les points de terminaison de service standard permettent aux clients dans les réseaux virtuels d’accéder à un compte de stockage dans un périmètre de sécurité réseau sans point de terminaison privé. Pour les autoriser, ajoutez une règle d’accès IP entrante basée sur l’adresse IP du point de terminaison de service au profil périmétrique. La règle permet le trafic SMB, NFS et FileREST provenant de chaque sous-réseau utilisant l’adresse IP. Une adresse IP peut représenter de nombreux sous-réseaux et réseaux virtuels dans la même région, y compris des réseaux virtuels dans d’autres abonnements dans le même tenant Microsoft Entra. Lorsque vous ajoutez ou supprimez des sous-réseaux utilisant l’adresse IP, vous n’avez pas besoin de modifier les règles du périmètre.

Les règles d’adresse IP d’un compte de stockage peuvent également autoriser l’adresse IP du point de terminaison de service, sans périmètre de sécurité. Sans périmètre, un point de terminaison de service de base avec des règles de réseau virtuel offre le même accès sans frais supplémentaires.

Gardez à l’esprit les points suivants :

• Un point de terminaison de service standard identifie toujours le sous-réseau source. Les règles du réseau virtuel qui s’appliquent au sous-réseau continuent de s’appliquer après l’attribution d’une adresse IP, jusqu’à ce que le périmètre soit en mode Enforced.
• Attribuer ou modifier l’adresse IP réinitialise les connexions actives provenant du sous-réseau. Planifiez la modification pour une fenêtre de maintenance.
• Les points de terminaison de service standard ne prennent pas en charge le trafic provenant des réseaux locaux. Utilisez un point de terminaison privé pour l’accès local.
• Les points de terminaison de service standard sont une fonctionnalité payante, facturée pour chaque réseau virtuel. Pour plus d’informations, consultez la tarification d’Azure Private Link.

Les clients dans un sous-réseau disposant d'un point de terminaison de service standard peuvent toujours accéder à un partage de fichiers Microsoft.FileShares si le sous-réseau est dans les sous-réseaux autorisés du partage de fichiers.

Pour configurer un point de terminaison de service standard, voir Autoriser l’accès depuis un point de terminaison de service standard.

Contrôle d’accès sortant

Les règles réseau pour un partage de fichiers contrôlent l’accès entrant. Ils ne restreignent pas les destinations sortantes des clients. Par exemple, un client capable de lire un partage de fichiers pourrait copier des données vers une autre ressource sur laquelle il a la permission d’écrire.

Restreignez l’accès sortant avec des stratégies de point de terminaison de service

Pour les partages de fichiers classiques, vous pouvez utiliser une stratégie de point de terminaison de service pour limiter les comptes de stockage auxquels les clients d’un sous-réseau peuvent accéder via les points de terminaison de service. La politique s’applique à tous les clients dans ce sous-réseau. Les règles réseau et exigences d’autorisation de la destination restent en vigueur.

Les stratégies de point de terminaison de service fonctionnent en parallèle avec d’autres contrôles réseau :

• Les routes des points de terminaison de service supplantent les routes définies par l’utilisateur (UDR) pour les préfixes d’adresse de service correspondants. Le trafic acheminé via un point de terminaison de service ne passe pas par Pare-feu Azure ni par une appliance virtuelle réseau (NVA), donc ces appareils ne peuvent ni l'inspecter ni le journaliser. Pour plus d’informations, consultez Points de terminaison de service de réseau virtuel.
• Les règles du groupe de sécurité réseau (NSG) peuvent utiliser des balises de service telles que Storage.WestUS pour restreindre le trafic sortant vers une région. Les balises de service ne peuvent pas restreindre le trafic vers un compte de stockage spécifique.

La liste des autorisations de la politique peut contenir des comptes de stockage individuels, des groupes de ressources ou des abonnements. La politique empêche les clients du sous-réseau associé d’accéder à d’autres comptes de stockage via les points de terminaison de service. Cela ne limite pas les autres chemins sortants du sous-réseau.

Les stratégies de point de terminaison de service ne s’appliquent pas au trafic de point de terminaison privé.

Pour configurer une stratégie de point de terminaison de service, voir Restreindre l’accès sortant à des comptes de stockage spécifiques.

Contenu connexe

• vue d’ensemble Azure Files
• Planifier un déploiement Azure Files