Usare endpoint privati per il controllo di accesso

È possibile usare endpoint privati per la risorsa Web PubSub di Azure per consentire ai client in una rete virtuale (VNet) di accedere in modo sicuro ai dati tramite un collegamento privato. L'endpoint privato utilizza un indirizzo IP dello spazio di indirizzi della VNet per la risorsa Web PubSub. Il traffico di rete tra i client nella rete virtuale e la risorsa Web PubSub attraversa un collegamento privato nella rete Microsoft, eliminando l'esposizione su Internet pubblico.

L'uso di endpoint privati per la risorsa Web PubSub consente di:

• Proteggere la risorsa Web PubSub usando il controllo di accesso di rete per bloccare tutte le connessioni nell'endpoint pubblico per Web PubSub.
• Aumentare la sicurezza per la rete virtuale, consentendo di bloccare l'esfiltrazione dei dati dalla rete virtuale.
• Connettersi in modo sicuro a Web PubSub da reti locali che si connettono alla rete virtuale usando una VPN o Azure ExpressRoute con peering privato.

Usare endpoint privati in una rete virtuale

Un endpoint privato è un'interfaccia di rete speciale per un servizio di Azure nella rete virtuale. Quando si crea un endpoint privato per la propria risorsa Web PubSub, questo fornisce una connettività sicura tra i client della rete virtuale e il servizio. All'endpoint privato viene assegnato un indirizzo IP dall'intervallo di indirizzi IP della rete virtuale. La connessione tra l'endpoint privato e Web PubSub usa un collegamento privato sicuro.

Le applicazioni nella rete virtuale possono connettersi facilmente alle risorse Web PubSub usando l'endpoint privato. Le applicazioni utilizzano le stesse stringhe di connessione e gli stessi meccanismi di autorizzazione che userebbero in caso contrario.

Gli endpoint privati possono essere usati con tutti i protocolli supportati dalla risorsa Web PubSub, inclusa l'API REST.

Quando si crea un endpoint privato per una risorsa Web PubSub nella rete virtuale, viene inviata una richiesta di consenso per l'approvazione al proprietario della risorsa PubSub Web. Se l'utente che richiede l'endpoint privato è anche proprietario della risorsa Web PubSub, questa richiesta di consenso viene approvata automaticamente.

È possibile gestire le richieste di consenso e gli endpoint privati per la risorsa Web PubSub nella scheda Endpoint privati del portale di Azure.

Connettersi a un endpoint privato

I client in una rete virtuale che utilizza un endpoint privato devono usare la stessa stringa di connessione per la risorsa PubSub Web utilizzata dai client che si connettono tramite un endpoint pubblico. Ci si basa sulla risoluzione Domain Name System (DNS) per instradare automaticamente le connessioni dalla rete virtuale a Web PubSub tramite un collegamento privato.

Per impostazione predefinita, viene creata una zona DNS privata collegata alla rete virtuale con gli aggiornamenti necessari per gli endpoint privati. Se si usa il proprio server DNS, potrebbe essere necessario apportare altre modifiche alla configurazione del DNS. Nella sezione successiva vengono descritti gli aggiornamenti necessari per gli endpoint privati.

Modifiche al DNS per gli endpoint privati

Quando si crea un endpoint privato, il record di risorse DNS CNAME per la risorsa Web PubSub viene aggiornato a un alias in un sottodominio con il prefisso privatelink. Per impostazione predefinita, viene anche creata una zona DNS privata, che corrisponde al sottodominio privatelink, con i record di risorse A del DNS per gli endpoint privati.

Quando si risolve il nome di dominio della risorsa Web PubSub dall'esterno della VNet tramite l'endpoint privato, questo viene risolto nell'endpoint pubblico della risorsa Web PubSub. Quando viene risolto dalla VNet che ospita l'endpoint privato, il nome di dominio si risolve nell'indirizzo IP dell'endpoint privato.

Nell'esempio illustrato precedente, i record di risorsa DNS per la risorsa Web PubSub sample quando viene eseguita la risoluzione dall'esterno della VNet che ospita l'endpoint privato:

È possibile negare o controllare l'accesso per i client esterni alla rete virtuale tramite l'endpoint pubblico usando il controllo di accesso alla rete.

I record di risorsa DNS per la risorsa Web PubSub sample, quando viene risolta da un client nella rete virtuale (VNet) che ospita l'endpoint privato, sono simili a questo esempio:

Questo approccio consente l'accesso a Web PubSub usando la stessa stringa di connessione per i client nella rete virtuale che ospita l'endpoint privato e per i client esterni alla rete virtuale.

Se si usa un server DNS personalizzato nella rete, i client devono essere in grado di risolvere il nome di dominio completo (FQDN) per l'endpoint della risorsa Web PubSub all'indirizzo IP dell'endpoint privato. È necessario configurare il server DNS per delegare il sottodominio di collegamento privato alla zona DNS privata per la rete virtuale, o configurare i record A per sample.privatelink.webpubsub.azure.com da utilizzare con l'indirizzo IP dell'endpoint privato.

È consigliabile usare privatelink.webpubsub.azure.com per il nome della zona DNS per gli endpoint privati in una risorsa PubSub Web.

Per altre informazioni sulla configurazione di un server DNS personalizzato per supportare gli endpoint privati, vedere gli articoli seguenti:

• Risoluzione dei nomi per le risorse in reti virtuali di Azure
• Configurazione DNS per gli endpoint privati

Creare un endpoint privato

Le sezioni seguenti descrivono come creare un endpoint privato e una nuova istanza di Web PubSub e come creare un endpoint privato per un'istanza esistente di Web PubSub.

Creare un endpoint privato in una nuova istanza di Web PubSub

1. Nel portale di Azure creare una nuova istanza di PubSub Web di Azure. Nella scheda Rete selezionare Endpoint privato in Metodo di connettività.

   

2. Selezionare Aggiungi. Selezionare o immettere la sottoscrizione, il nome del gruppo di risorse, l'area di Azure e un nome per il nuovo endpoint privato. Scegliere una rete virtuale e la subnet da utilizzare.

3. Selezionare Rivedi e crea.

Creare un endpoint privato per una risorsa PubSub Web esistente

1. Nel portale di Azure, vai alla risorsa Web PubSub.

2. Nel menu a sinistra, sotto Impostazioni, selezionare la voce Connessioni endpoint private.

3. Selezionare Endpoint privato.

4. Selezionare o immettere i valori per sottoscrizione, gruppo di risorse, nome della risorsa e area per il nuovo endpoint privato.

5. Selezionare la risorsa Web PubSub di destinazione.

6. Selezionare la rete virtuale di destinazione.

7. Selezionare Rivedi e crea.

Endpoint privati con replica geografica

Azure Web PubSub viene esposto a un endpoint privato nel suo complesso. Non si crea un endpoint privato che punta a una replica specifica. Invece, è sufficiente un endpoint privato sulla risorsa padre: instrada automaticamente il traffico a una replica integra, proprio come nella rete pubblica, in base alle metriche di integrità e prestazioni.

Il diagramma seguente illustra il flusso del traffico da un client in una rete virtuale a una replica tramite un singolo endpoint privato:

            ┌──────────────────────────────────┐
            │  Client in VNet                  │
            └────────────────┬─────────────────┘
                             │
                             ▼
            ┌──────────────────────────────────┐
            │  Private endpoint                │
            │  (private IP in your subnet)     │
            └────────────────┬─────────────────┘
                             │
                             ▼
            ┌──────────────────────────────────┐
            │  Closest healthy replica         │
            └──────────────────────────────────┘

Esempio. Si supponga che la macchina virtuale client si trova negli Stati Uniti orientali, che la risorsa Web PubSub primaria si trova negli Stati Uniti occidentali e che una replica si trova negli Stati Uniti orientali. Quando il client si connette a Web PubSub tramite l'endpoint privato, la replica Stati Uniti orientali viene selezionata per ottenere prestazioni migliori nel routing.

Failover

Se la replica attualmente in uso per gestire il traffico diventa indisponibile, l'infrastruttura di rete di Azure indirizza automaticamente il nuovo traffico a un'altra replica integra e funzionante. L'endpoint privato viene sempre risolto nello stesso indirizzo IP privato all'interno della rete virtuale, quindi non è necessaria alcuna modifica sul lato client. Il completamento del failover può richiedere alcuni minuti .

Per attivare e convalidare manualmente il failover, arrestare la replica connessa, attendere alcuni minuti e ricollegarsi tramite un client di test. Il client deve atterrare su una replica diversa.

Prezzi

Per informazioni dettagliate sui prezzi, vedere Prezzi di Collegamento privato di Azure.

Problemi noti

Tenere presente i problemi noti seguenti relativi all'uso di endpoint privati in Web PubSub.

Limitazioni del livello gratuito

Un'istanza Web PubSub di Azure creata usando il livello gratuito non può essere integrata con un endpoint privato.

Vincoli di accesso per i client in reti virtuali con endpoint privati

I client nelle VNet che dispongono già di endpoint privati sono soggetti a vincoli quando accedono ad altre istanze di Web PubSub con endpoint privati. Ad esempio, una rete virtuale N1 ha un endpoint privato per un'istanza PubSub Web W1. Se l'istanza Web PubSub W2 ha un endpoint privato in una rete virtuale N2, i client nella rete virtuale N1 devono accedere anche all'istanza PubSub Web W2 usando un endpoint privato.

Se l'istanza Web PubSub W2 non dispone di endpoint privati, i client nella rete virtuale N1 possono accedere alla risorsa Web PubSub in tale account senza usare un endpoint privato. Questo vincolo è il risultato delle modifiche DNS apportate quando l'istanza Web PubSub W2 crea un endpoint privato.