Usare endpoint privati con Azure Maps (versione di anteprima)

Azure Maps supporta Azure Private Link, consentendo l'accesso sicuro ai servizi di Azure Maps tramite un endpoint privato nella tua rete virtuale. Un endpoint privato assegna un indirizzo IP privato dalla rete virtuale al servizio Mappe di Azure, quindi il traffico tra le applicazioni e Mappe di Azure rimane nella rete backbone Microsoft anziché nella rete Internet pubblica. In questo modo è possibile migliorare la sicurezza e l'isolamento della rete. È possibile creare un endpoint privato quando si crea un account mappe di Azure o ne si aggiunge uno a un account esistente.

Vantaggi degli endpoint privati per Mappe di Azure

Gli endpoint privati offrono i vantaggi seguenti per gli account mappe di Azure:

• Nessuna esposizione a Internet pubblico: È possibile isolare l'account di Mappe di Azure dalla rete Internet pubblica per ridurre l'esposizione alle minacce esterne. Solo i client all'interno della rete privata possono accedere all'account. Questa operazione può essere eseguita bloccando l'accesso esterno tramite la funzionalità publicNetworkAccess .
• Comunicazione sicura della rete virtuale: Le risorse nella rete virtuale(ad esempio macchine virtuali e contenitori) comunicano con Mappe di Azure usando indirizzi IP privati. Il traffico rimane all'interno della rete virtuale, semplificando la sicurezza di rete ed evitando reti pubbliche, che consentono di soddisfare i requisiti di sicurezza e conformità interni.

Prerequisiti

Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.

• Un account Azure Maps. Usare un account Mappe e una rete virtuale nella stessa area di Azure per ottenere prestazioni ottimali.
• Una rete virtuale e una subnet: una rete virtuale e una subnet nella sottoscrizione di Azure per l'endpoint privato. La subnet deve avere indirizzi IP disponibili.
• Autorizzazioni necessarie
  • Per creare un endpoint privato approvato automaticamente, è necessario:
    • Collaboratore di Azure Maps nell'account di Azure Maps
    • Collaboratore di rete sulla rete virtuale
  • Per creare un endpoint privato che richiede l'approvazione manuale, è necessario solo il ruolo Collaboratore rete .
• Scegliere se Azure gestisce automaticamente DNS per l'endpoint privato usando DNS privato di Azure o gestire DNS manualmente. Nella maggior parte dei casi, DNS privato di Azure offre la configurazione più semplice.

Configurare un endpoint privato per Mappe di Azure

Per abilitare la connettività privata per un account mappe di Azure, creare un endpoint privato e configurare DNS per instradare il traffico attraverso la rete virtuale.

1. Creare l'endpoint privato (portale o interfaccia della riga di comando)

Nel portale di Azure passare a Creare una risorsa e cercare Endpoint privato. È anche possibile creare un endpoint privato dalla sezione Rete della risorsa mappe di Azure. Selezionare Crea per aprire la procedura guidata.

• Basi: Selezionare la sottoscrizione e il gruppo di risorse appropriati per la risorsa endpoint e scegliere un nome e un'area geografica (usare la stessa area della rete virtuale).
• Risorsa: In Metodo di connessione scegliere Connetti a una risorsa di Azure nella directory. Impostare quindi:
  • Tipo di = Microsoft.Maps/accounts risorsa. Questo indica ad Azure di voler creare un collegamento privato a un account mappe di Azure.
  • Risorsa = Nome dell'account Azure Maps. Selezionare l'account di Mappe di Azure specifico
  • Sotto-risorsa di destinazione = mapsAccount. Azure Maps ha un'unica sottorisorsa di collegamento privato che rappresenta il piano dati dell'account.
• Configurazione: Selezionare la rete virtuale e la subnet in cui è posizionato l'endpoint privato. Verificare che la subnet disponga di spazio per un indirizzo IP. Lasciare abilitata l'integrazione DNS privata , a meno che non si intenda configurare manualmente DNS. Con l'integrazione DNS in, Azure crea una zona DNS privato per privatelink.account.maps.azure.com e aggiunge automaticamente il record DNS necessario.

Al termine della creazione, andare all'account di Mappe di Azure nel portale e navigare verso Rete > Connessioni endpoint private. Verrà visualizzata una nuova connessione elencata. Se l'autore dell'endpoint privato è proprietario o dispone delle autorizzazioni appropriate per l'account Mappe di Azure, la connessione viene in genere approvata automaticamente (lo stato mostra "Approvato". Se viene visualizzato "In sospeso", potrebbe essere necessaria l'approvazione manuale. Dopo l'approvazione, viene stabilito il collegamento privato.

Esempio: uso dell'interfaccia della riga di comando di Azure

Il comando seguente del CLI di Azure crea un endpoint privato per un account Mappe di Azure, equivalente ai passaggi precedenti del portale.

az network private-endpoint create \
  --name <MyPrivateEndpointName> \
  --resource-group <MyResourceGroup> \
  --vnet-name <MyVNetName> \
  --subnet <MySubnetName> \
  --private-connection-resource-id "/subscriptions/<SubscriptionID>/resourceGroups/<MyResourceGroup>/providers/Microsoft.Maps/accounts/<MyMapsAccountName>" \
  --group-id mapsAccount \
  --connection-name <MyConnectionName>

Questo comando specifica l'ID risorsa dell'account di Mappe e la sottorisorsa mapsAccount, insieme alla rete virtuale e alla subnet utilizzata per l'endpoint privato.

2. Configurare IL DNS per l'endpoint privato

Se è stata abilitata l'integrazione DNS privato durante la creazione dell'endpoint privato (impostazione predefinita), Azure crea automaticamente una zona DNS privato per privatelink.account.maps.azure.com nella sottoscrizione e la collega alla rete virtuale.

All'interno di questa zona, un record DNS mappa l'ID univoco e la regione dell'account Maps di Azure all'indirizzo IP privato dell'endpoint. Ad esempio, se l'ID client dell'account Mappe è abc123 e l'area è East US, il record DNS risolve quel nome host nell'indirizzo IP dell'endpoint privato.

• Nome record:abc123.eastus.account.maps.azure.com
• Valore record:10.x.y.z: indirizzo IP privato assegnato all'endpoint.

I client all'interno della rete virtuale risolvono il nome host in un indirizzo IP privato per la connettività privata, mentre i client esterni alla rete risolvono lo stesso nome host nell'endpoint pubblico di Mappe di Azure. Questo approccio DNS split-horizon consente di usare un singolo URL endpoint sia all'interno che all'esterno della rete virtuale.

Se non si usa l'integrazione DNS automatica, configurare manualmente il DNS in modo che il nome host dell'account di Mappe di Azure
(<maps-account-client-id>.<location>.account.maps.azure.com) viene risolto nell'indirizzo IP dell'endpoint privato all'interno della rete. Per altre informazioni, vedere la documentazione relativa al DNS dell'endpoint privato di Azure.

3. Usare l'endpoint privato nelle applicazioni

Per usare l'endpoint privato, configurare le applicazioni per chiamare l'endpoint specifico dell'account di Mappe di Azure. È possibile trovare questo endpoint nelle pagine Panoramica dell'account di Mappe di Azure o Autenticazione oppure nella risorsa endpoint privato in Configurazione DNS (FQDN visibili al cliente).

Il modello di accesso è:

https://{maps-account-client-id}.{location}.account.maps.azure.com

4. [Facoltativo] Disabilitare l'accesso alla rete pubblica

Anche dopo aver creato un endpoint privato, gli endpoint pubblici dell'account mappe di Azure rimangono attivi per impostazione predefinita. Ciò consente alle applicazioni esistenti all'esterno della rete virtuale di continuare a funzionare fino a quando non vengono intenzionalmente limitati. Se è necessario l'accesso privato esclusivo, disabilitare l'accesso alla rete pubblica per l'account Mappe.

Nel portale di Azure aprire l'account Mappe e passare a Rete. Impostare Accesso pubblico su Disabilita e salva. Una volta completato, Azure Maps rifiuta qualsiasi tentativo di connessione sull'endpoint pubblico. In questo modo viene aggiunto un ulteriore livello di protezione: anche se un utente ha la chiave di autenticazione o il token di firma di accesso condiviso di Mappe, non può usarlo da Internet una volta disattivato l'accesso pubblico.

È anche possibile disabilitare l'accesso pubblico tramite modelli arm o l'interfaccia della riga di comando di Azure impostando la proprietà publicNetworkAccess su Disabled.

Dopo aver disabilitato l'accesso alla rete pubblica, convalidare la connettività da ogni applicazione. Gli endpoint pubblici (ad esempio , atlas.microsoft.com) sono bloccati dalla progettazione, quindi aggiornare tutte le configurazioni dell'applicazione e dell'SDK per usare l'endpoint DNS privato.

Altre considerazioni

• Risoluzione DNS: Se non è possibile connettersi a Mappe di Azure tramite l'endpoint privato, verificare la configurazione DNS, perché i problemi DNS sono una causa comune di problemi di connettività.
• Più reti: È possibile creare più endpoint privati per un singolo account mappe di Azure per connettersi da reti virtuali diverse. Ogni endpoint privato usa un indirizzo IP dalla subnet selezionata.

L'uso del collegamento privato di Azure con Mappe di Azure mantiene tutto il traffico dell'applicazione sulle reti private. Ciò migliora la sicurezza e supporta i criteri di rete aziendali mantenendo al contempo la funzionalità completa di Mappe di Azure. Mappe di Azure è accessibile tramite indirizzi IP privati e DNS, assicurando che il traffico rimanga entro il limite di rete controllato.

Chiedere a Copilot

Contenuti correlati

• Valori della zona DNS privata dell'endpoint privato di Azure
• Disponibilità del collegamento privato di Azure