Sicurezza di rete per i namespace di Azure Event Grid

Questo articolo descrive come usare le funzionalità di sicurezza seguenti con Griglia di eventi di Azure:

• Tag di servizio in uscita
• Regole del firewall IP
• Gli endpoint privati

Etichette di servizio

Un tag del servizio rappresenta un gruppo di prefissi di indirizzi IP di un determinato servizio di Azure. Microsoft gestisce i prefissi di indirizzo inclusi nel tag del servizio e aggiorna automaticamente il tag in base alla modifica degli indirizzi, riducendo la complessità degli aggiornamenti frequenti alle regole di sicurezza di rete. Per altre informazioni sui tag del servizio, vedere Panoramica dei tag di servizio.

È possibile usare i tag del servizio per definire i controlli di accesso alla rete nei gruppi di sicurezza di rete o nel firewall di Azure. Quando si creano regole di sicurezza, usare i tag del servizio anziché indirizzi IP specifici. Specificando il nome del tag del servizio ,ad esempio Griglia di eventi di Azure, nei campi di origine o di destinazione appropriati di una regola, è possibile consentire o negare il traffico per il servizio corrispondente.

Firewall di IP

Per impostazione predefinita, gli spazi dei nomi e le entità di Griglia di eventi sono accessibili da Internet, purché la richiesta venga fornita con autenticazione valida (chiave di accesso) e autorizzazione. Con un firewall per gli indirizzi IP, è possibile limitare ulteriormente l'accesso a un set di indirizzi IPv4 o a intervalli di indirizzi IPv4 in notazione CIDR (Classless Inter-Domain Routing). I client provenienti da qualsiasi altro indirizzo IP vengono rifiutati e ricevono una risposta 403 (Accesso negato).

Per gli scenari MQTT (Message Queueing Telemetry Transport), solo i client che rientrano nell'intervallo IP consentito possono connettersi per pubblicare e sottoscrivere eventi. Per ulteriori informazioni, vedere Configurare il firewall IP per gli spazi dei nomi di Event Grid negli scenari MQTT.

Per gli scenari non MQTT, solo i client che rientrano nell'intervallo IP consentito possono connettersi a Griglia di eventi di Azure per pubblicare eventi o eventi pull. Per ulteriori informazioni, vedere Configurare il firewall IP per gli spazi dei nomi di Event Grid in scenari non MQTT.

I passaggi sono uguali per entrambi gli scenari. Questi articoli forniscono informazioni aggiuntive specifiche per gli scenari MQTT o non MQTT.

Gli endpoint privati

Un endpoint privato è un'interfaccia di rete speciale per un servizio di Azure nella rete virtuale. Quando si crea un endpoint privato per uno spazio dei nomi, viene fornita connettività sicura tra i client nella rete virtuale e nello spazio dei nomi di Grigli di eventi. All'endpoint privato viene assegnato un indirizzo IP dall'intervallo di indirizzi IP della rete virtuale. La connessione tra l'endpoint privato e il servizio Griglia di eventi usa un collegamento privato sicuro. L'uso di endpoint privati per lo spazio dei nomi di Event Grid consente di:

• Proteggi l'accesso al tuo spazio dei nomi da una rete virtuale utilizzando la rete backbone di Microsoft anziché Internet pubblica.
• Connettersi in modo sicuro da reti locali che si connettono alla rete virtuale tramite VPN o ExpressRoute con peering privato.

Quando si crea un endpoint privato per uno spazio dei nomi nella rete virtuale, viene inviata una richiesta di consenso per l'approvazione al proprietario della risorsa. Se l'utente che richiede la creazione dell'endpoint privato è anche un proprietario della risorsa, questa richiesta di consenso viene approvata automaticamente. In caso contrario, la connessione è in sospeso fino all'approvazione. Le applicazioni nella rete virtuale possono connettersi al servizio Griglia di eventi tramite l'endpoint privato senza problemi, usando gli stessi meccanismi di autorizzazione e stringa di connessione usati in altro modo. I proprietari delle risorse possono gestire le richieste di consenso e gli endpoint privati, tramite la scheda Endpoint privati per la risorsa nella portale di Azure.

Quando un client MQTT in una rete privata si connette al broker MQTT su un collegamento privato, il client può pubblicare e sottoscrivere messaggi MQTT. Per altre informazioni, vedere Configurare gli endpoint privati per gli spazi dei nomi negli scenari MQTT.

Negli scenari non MQTT, un client in una rete privata può connettersi allo spazio dei nomi di Event Grid e pubblicare eventi o estrarre eventi. Per ulteriori informazioni, consultare Configurare endpoint privati per gli spazi dei nomi in scenari non MQTT.

Connettersi agli endpoint privati

È possibile usare endpoint privati per consentire l'ingresso di eventi direttamente dalla rete virtuale alle entità negli spazi dei nomi di Griglia di eventi in modo sicuro tramite un collegamento privato senza passare attraverso la rete Internet pubblica. L'endpoint privato usa un indirizzo IP dello spazio di indirizzi della rete virtuale per lo spazio dei nomi.

I client che si trovano su una rete virtuale e che utilizzano l'endpoint privato devono usare la stessa stringa di connessione per il namespace che usano i client che si connettono all'endpoint pubblico. La risoluzione DNS (Domain Name System) instrada automaticamente le connessioni dalla rete virtuale allo spazio dei nomi tramite un collegamento privato. Griglia di eventi crea una zona DNS privata collegata alla rete virtuale con l'aggiornamento necessario per gli endpoint privati, per impostazione predefinita. Tuttavia, se si usa il proprio server DNS, potrebbe essere necessario apportare modifiche aggiuntive alla configurazione DNS.

Quando un client MQTT in una rete privata si connette al broker MQTT su un collegamento privato, il client può pubblicare e sottoscrivere messaggi MQTT.

Modifiche al DNS per gli endpoint privati

Quando si crea un endpoint privato, il record CNAME DNS per la risorsa viene aggiornato a un alias in un sottodominio con il prefisso privatelink. Per impostazione predefinita, viene creata una zona DNS privata che corrisponde al sottodominio del collegamento privato.

Quando si risolve l'URL dell'endpoint dello spazio dei nomi dall'esterno della rete virtuale usando l'endpoint privato, questo si risolve nell'endpoint pubblico del servizio. I record di risorse DNS per 'namespaceA', se risolti dall'esterno della rete virtuale che ospita l'endpoint privato, sono:

È possibile negare o controllare l'accesso per un client esterno alla rete virtuale tramite l'endpoint pubblico usando il firewall IP.

Quando viene risolto dalla rete virtuale che ospita l'endpoint privato, l'URL dell'endpoint dello spazio dei nomi viene risolto nell'indirizzo IP dell'endpoint privato. I record di risorse DNS per lo spazio dei nomi 'namespaceA', se risolti dall'interno della rete virtuale che ospita l'endpoint privato, sono:

Questo approccio consente l'accesso allo spazio dei nomi usando la stessa stringa di connessione per i client nella rete virtuale che ospita gli endpoint privati e i client all'esterno della rete virtuale.

Se si usa un server DNS personalizzato nella rete, i client possono risolvere il nome di dominio completo per l'endpoint dello spazio dei nomi nell'indirizzo IP dell'endpoint privato. Configurare il server DNS per delegare il sottodominio di collegamento privato alla zona DNS privata per la rete virtuale o configurare i record A per namespaceName.regionName.privatelink.eventgrid.azure.net con l'indirizzo IP dell'endpoint privato.

Il nome della zona DNS consigliato è privatelink.eventgrid.azure.net.

Endpoint privati e pubblicazione

Nella tabella seguente vengono descritti i vari stati della connessione all'endpoint privato e gli effetti sulla pubblicazione:

Affinché la pubblicazione venga eseguita correttamente, lo stato di connessione dell'endpoint privato deve essere approvato. Se una connessione viene rifiutata, non può essere approvata usando il portale di Azure. L'unica possibilità consiste nell'eliminare la connessione e crearne una nuova.

Quote e limiti

C'è un limite al numero di regole del firewall IP e connessioni endpoint private per spazio dei nomi. Vedere Quote e limiti di Griglia di eventi.

Articoli correlati

Se si usa MQTT, vedere gli articoli seguenti:

• Configurare il firewall IP per i namespace di Event Grid negli scenari MQTT
• Configurare endpoint privati per i namespace di Event Grid negli scenari MQTT

Per la consegna di eventi basata su pull, vedere i seguenti articoli:

• Configurare firewall IP per i namespace di Event Grid in scenari non MQTT
• Configurare endpoint privati per i namespace di Event Grid in scenari non MQTT