Proteggere la distribuzione di collegamento privato di Azure

collegamento privato di Azure consente di accedere ai servizi PaaS Azure e ai servizi di proprietà del cliente o partner ospitati Azure tramite un endpoint privato nella rete virtuale. Il traffico tra la tua rete virtuale e il servizio transita sulla rete backbone Microsoft, eliminando l'esposizione a Internet pubblico.

Questo articolo fornisce raccomandazioni sulla sicurezza per collegamento privato di Azure. Seguendo queste raccomandazioni è possibile soddisfare gli obblighi di sicurezza e migliorare il comportamento di sicurezza complessivo delle distribuzioni collegamento privato. Per una panoramica dei servizi di sicurezza di rete di Azure e di come interagiscono, vedere Che è Azure sicurezza di rete?.

Le raccomandazioni sulla sicurezza in questo articolo implementano i principi Zero Trust: "Verificare in modo esplicito", "Usare l'accesso con privilegi minimi" e "Presupporre violazione". Per indicazioni complete su Zero Trust, vedere Zero Trust Guidance Center.

Sicurezza di rete

  • Eseguire il mapping degli endpoint privati a istanze di risorse specifiche per evitare l'esfiltrazione di dati: gli endpoint privati vengono mappati a una singola istanza di una risorsa PaaS anziché all'intero servizio. Questo mapping a livello di istanza impedisce a un utente malintenzionato di accedere a qualsiasi altra risorsa, anche all'interno dello stesso servizio. Per altre informazioni, vedere Che cos'è un endpoint privato?.

  • Abilitare il supporto del gruppo di sicurezza di rete nelle subnet degli endpoint privati: per impostazione predefinita, i criteri di rete sono disabilitati per le subnet contenenti endpoint privati. Abilitare il supporto NSG per applicare le regole per il traffico in ingresso e in uscita al traffico dell'endpoint privato. Per altre informazioni, vedere Gestire i criteri di rete per gli endpoint privati.

  • Usare i gruppi di sicurezza delle applicazioni per raggruppare gli endpoint privati per la gestione semplificata delle regole: associare endpoint privati ai gruppi di sicurezza di rete per applicare regole del gruppo di sicurezza di rete a gruppi di endpoint anziché scrivere singole regole per ogni indirizzo IP. Per altre informazioni, vedere Configurare un gruppo di sicurezza delle applicazioni con un endpoint privato.

  • Instradare il traffico dell'endpoint privato attraverso Firewall di Azure per l'ispezione approfondita dei pacchetti: Abilitare le route definite dall'utente (UDR) nelle subnet dell'endpoint privato e instradare il traffico attraverso Firewall di Azure per ispezionarlo e filtrarlo usando regole basate su FQDN. Usare le regole dell'applicazione anziché le regole di rete per mantenere la simmetria del flusso con SNAT. Per indicazioni più generali sul firewall, vedere Secure your Firewall di Azure deployment.For broad firewall guidance, see Secure your Firewall di Azure deployment. Per altre informazioni, vedere Use Firewall di Azure per esaminare il traffico destinato a un endpoint privato.

  • Configurare correttamente le zone DNS private per evitare perdite DNS: creare Azure zone DNS private corrispondenti ai nomi di zona consigliati per ogni tipo di servizio. Collegare zone DNS private a tutte le reti virtuali che devono risolvere gli indirizzi degli endpoint privati. Una configurazione DNS non corretta può causare il routing del traffico tramite Internet pubblico anziché tramite l'endpoint privato. Per ulteriori informazioni, vedere Integrazione DNS di Azure Private Endpoint.

  • Usare Azure DNS privato Resolver per la risoluzione dei nomi ibrida: nelle topologie hub-and-spoke o ibride, distribuire Azure DNS privato Resolver per inoltrare in modo sicuro le query DNS tra le reti locali e Azure. Questo approccio evita la distribuzione di macchine virtuali server d'inoltro DNS personalizzate e centralizza la gestione DNS. Per ulteriori informazioni, vedere Integrazione DNS di Azure Private Endpoint.

  • Associare le risorse a un perimetro NSP (Network Security Perimeter) per definire un limite di rete attendibile: raggruppare le risorse PaaS supportate in un perimetro che controlla l'accesso pubblico in ingresso e in uscita. Iniziare in modalità transizione (in precedenza modalità apprendimento) per convalidare i modelli di accesso, quindi spostare in modo esplicito le associazioni di risorse in modalità applicata in modo che le risorse rispettino solo le regole di accesso NSP. In modalità imposta, l'accesso ai servizi attendibili non è supportato e il traffico dell'endpoint privato non è influenzato da NSP. Per altre informazioni, vedere Transizione a un perimetro di sicurezza di rete.

  • Disabilitare l'accesso alla rete pubblica nelle risorse di destinazione dopo la distribuzione degli endpoint privati: dopo aver confermato la connettività dell'endpoint privato, disabilitare l'accesso alla rete pubblica nella risorsa PaaS di destinazione per garantire tutti i flussi di traffico tramite il collegamento privato. Per altre informazioni, vedere Che è collegamento privato di Azure?.

  • Configurare correttamente le subnet IP NAT del servizio collegamento privato: quando si pubblicano servizi personalizzati tramite collegamento privato Service, usare configurazioni IP NAT da una subnet in cui privateLinkServiceNetworkPolicies è disabilitato. Una subnet dedicata non è necessaria per il servizio collegamento privato, ma altre risorse nella subnet rimangono regolate dalle regole del gruppo di sicurezza di rete. Per altre informazioni, vedere Disabilitare i criteri di rete per l'IP di origine del servizio collegamento privato.

Gestione delle identità e degli accessi

  • Assegnare i ruoli RBAC con privilegi minimi per la gestione degli endpoint privati: Usare il ruolo predefinito Collaboratore di rete per gli utenti che devono creare e gestire gli endpoint privati. Per un controllo più granulare, crea ruoli personalizzati che includano solo le autorizzazioni elencate nel riferimento RBAC di collegamento privato (che copre endpoint privato, associazione alla subnet, servizio di destinazione e azioni di approvazione, a seconda dei casi). Per altre informazioni, vedere autorizzazioni RBAC per collegamento privato di Azure.

  • Richiedere l'approvazione manuale per le connessioni di endpoint privati da tenant esterni: quando si espongono servizi tramite collegamento privato Service, configurare le impostazioni di visibilità e di approvazione automatica in modo da richiedere l'approvazione manuale per le connessioni provenienti dall'esterno dell'organizzazione. Ciò impedisce l'accesso non autorizzato tra tenant alle proprie risorse. Per altre informazioni, vedere Che cos'è collegamento privato di Azure Service?.

  • Usare identità gestite per le applicazioni che accedono a risorse connesse a endpoint privati: se la piattaforma di hosting supporta le identità gestite e il servizio PaaS di destinazione supporta l'autenticazione di Microsoft Entra, configurare le applicazioni in esecuzione nella rete virtuale in modo che eseguano l'autenticazione con identità gestite anziché con chiavi condivise o stringhe di connessione quando accedono alle risorse tramite endpoint privati. In questo modo si elimina la necessità di archiviare le credenziali. Per altre informazioni, vedere Che cosa sono le identità gestite per le risorse di Azure?

  • Assegnare ruoli RBAC granulari per la gestione del perimetro di sicurezza di rete: separare l'amministrazione di NSP dalla gestione generale della rete assegnando autorizzazioni specifiche per le operazioni del perimetro, la gestione dei profili e la gestione delle regole di accesso. Per altre informazioni, vedi Autorizzazioni RBAC di Azure per Network Security Perimeter.

Protezione dei dati

  • Usare gli endpoint privati per eliminare l'esposizione a Internet pubblica per i dati in transito: gli endpoint privati instradano il traffico sulla rete backbone Microsoft usando un indirizzo IP privato nella rete virtuale. In questo modo si elimina la necessità di consentire l'accesso a Internet pubblico alle risorse PaaS, riducendo la superficie di attacco per l'intercettazione dei dati. Per altre informazioni, vedere Che cos'è un endpoint privato?.

  • Applica la crittografia TLS alle connessioni tramite endpoint privati: collegamento privato non modifica il comportamento di crittografia del servizio sottostante. Continuare a applicare TLS 1.2 o versione successiva a tutti i servizi a cui si accede tramite endpoint privati per proteggere i dati in transito. Per maggiori informazioni, consultare la sezione Panoramica di crittografia di Azure.

  • Limitare la visibilità di collegamento privato Service a sottoscrizioni specifiche: Quando si pubblicano servizi tramite collegamento privato Service, usare la proprietà visibility per limitare quali sottoscrizioni possono individuare e richiedere connessioni al servizio. Limitare gli elenchi di approvazione automatica alle sottoscrizioni di cui si è proprietari. Per altre informazioni, vedere Che cos'è collegamento privato di Azure Service?.

Registrazione e monitoraggio

  • Monitorare il volume del traffico per gli endpoint privati: usare le metriche di Monitoraggio di Azure per tenere traccia del volume di traffico privato Bytes In e Bytes Out in modo da identificare modifiche impreviste del traffico o problemi di connettività. Per altre informazioni, vedere Metriche supportate per Microsoft.Network/privateEndpoints.

  • Impostare avvisi sull'utilizzo delle porte NAT di collegamento privato Service: per i servizi del provider che utilizzano collegamento privato Service, creare avvisi di Monitoraggio di Azure sulla metrica Nat Ports Usage. Un utilizzo elevato delle porte NAT può indicare una saturazione delle porte e influire sulla connettività degli utenti finali. Per altre informazioni, vedere Metriche supportate per Microsoft.Network/privateLinkServices.

  • Abilitare i log di diagnostica del perimetro di sicurezza di rete per il controllo di accesso: configurare i log di diagnostica NSP per acquisire decisioni di accesso in ingresso e in uscita, incluso il traffico consentito e negato dalle regole perimetrali. Usare questi log per controllare i modelli di accesso e identificare i tentativi di accesso non autorizzati. Per altre informazioni, vedere Log di diagnostica per il perimetro di sicurezza di rete.

  • Monitorare le modifiche dello stato di connessione dell'endpoint privato tramite i log attività: usare i log attività Azure per tenere traccia della creazione, approvazione, rifiuto o rimozione delle connessioni dell'endpoint privato. Configurare avvisi per le modifiche dello stato della connessione per rilevare modifiche impreviste. Per altre informazioni, vedere Monitorare il collegamento privato di Azure.

Conformità e governance

  • Usare Criteri di Azure per controllare o distribuire endpoint privati nei servizi supportati: Assegnare criteri predefiniti specifici del servizio, Ad esempio Gli account di archiviazione devono usare un collegamento privato, Configurare l'account di archiviazione per usare una connessione di collegamento privato, CosmosDB devono usare un collegamento privato e Configurare gli account CosmosDB con endpoint privati. Applicare questi criteri a livello di gruppo di gestione o sottoscrizione per una governance coerente. Per ulteriori informazioni, vedere Definizioni delle policy predefinite di Criteri di Azure.

  • Usare Criteri di Azure per bloccare l'accesso alla rete pubblica nelle risorse PaaS: integrare i criteri degli endpoint privati con criteri specifici del servizio che negano o modificano l'accesso alla rete pubblica nei servizi di destinazione. Ciò consente di garantire che una risorsa con un endpoint privato non sia raggiungibile anche tramite Internet pubblico. Per ulteriori informazioni, vedere Definizioni delle policy predefinite di Criteri di Azure.

  • Gestire le configurazioni del perimetro di sicurezza di rete con controlli documentati: definire i perimetri, i profili, le regole di accesso e le modalità di accesso all'associazione nei modelli di distribuzione e nel processo di gestione delle modifiche. Usare la modalità transizione per osservare gli schemi di accesso prima di spostare esplicitamente le associazioni in modalità imposizione in produzione. Per altre informazioni, vedere Transizione a un perimetro di sicurezza di rete.

  • Contrassegnare e tenere traccia di tutte le risorse di endpoint privati per la gestione dell'inventario: applicare una strategia di tagging coerente agli endpoint privati, alle zone DNS private e alle risorse di collegamento privato Service. Usare Azure Resource Graph query per controllare l'inventario della connettività privata e identificare le risorse che non richiedono tag o connettività privata. Per altre informazioni, vedere panoramica di Azure Resource Graph.

Backup e ripristino

  • Distribuisci endpoint privati in servizi resilienti a livello di zona per un'alta disponibilità: collegamento privato di Azure e gli endpoint privati si estendono tra le zone di disponibilità di Azure e sono resilienti a livello di zona. Per trarre vantaggio da ciò, assicurarsi che anche la risorsa PaaS di destinazione sia resiliente alla zona. Un endpoint privato rimane disponibile anche durante un errore della zona di disponibilità. Per altre informazioni, vedere Che è collegamento privato di Azure?.

  • Documentare le configurazioni degli endpoint privati per il ripristino di emergenza: gestire modelli di infrastruttura come codice per tutte le distribuzioni di endpoint privati, i record di zona DNS associati e le regole del gruppo di sicurezza di rete. Archiviare questi modelli nel controllo della versione in modo da ridistribuire le configurazioni di connettività privata in un'area secondaria, se necessario. Per altre informazioni, vedere panoramica dei modelli di Azure Resource Manager .

  • Pianificare la risoluzione DNS degli endpoint privati per distribuzioni multi-area: negli scenari di ripristino di emergenza multi-area, documentare come i client devono risolvere gli FQDN del servizio nell'endpoint privato regionale corretto e testare le modifiche DNS come parte del processo di failover specifico del servizio. Le linee guida per l'integrazione DNS illustrano i modelli di zona privata e resolver, ma non sostituisce una progettazione completa del ripristino di emergenza. Per ulteriori informazioni, vedere Integrazione DNS di Azure Private Endpoint.

Passaggi successivi

  • Ultimo aggiornamento: