Integrazione di rete Azure SRE Agent

L'integrazione della rete virtuale (VNet) controlla dove l'Agente SRE può inviare traffico in uscita. Senza di esso, le chiamate in uscita fluiscono su internet pubblico. Con esso, il traffico passa attraverso la tua Rete virtuale di Azure. Questa integrazione di rete ti offre gli stessi controlli a livello di rete che usi per altri carichi di lavoro Azure: integrazione con firewall, comunicazione con risorse dietro endpoint privati e visibilità nei log di rete.

Modalità di controllo di rete

L'agente SRE offre tre modalità di controllo di rete. Selezionare la modalità corrispondente al comportamento di sicurezza e al contesto operativo.

Scegliere una modalità di controllo di rete per il carico di lavoro

Usare i criteri seguenti per selezionare una modalità:

• Azure VNet: Scegli questa modalità se il carico di lavoro tratta dati sensibili o regolamentati, richiede una traccia di controllo completa dell'attività di rete in uscita o deve essere conforme ai criteri di sicurezza aziendali. Questa modalità è consigliata per le distribuzioni aziendali di produzione.

• Limitato: scegliere questa modalità se si desidera limitare destinazioni esterne specifiche senza instradare tutto il traffico attraverso una rete virtuale. Questa modalità funziona correttamente quando è necessario un controllo parziale senza sovraccarico della configurazione completa della rete virtuale.

• Senza restrizioni: scegliere questa modalità se il carico di lavoro è un ambiente di sviluppo o test a breve termine senza accesso ai dati sensibili. Questa modalità è l'impostazione predefinita.

Per selezionare una modalità, aprire l'agente nel portale di Azure e selezionare Impostazioni>Configurazione area di lavoro. Passare da una modalità all'altra su un agente in esecuzione. Le impostazioni vengono mantenute tra le modifiche alla modalità.

Funzionamento della modalità di rete virtuale Azure

In Azure modalità rete virtuale, il traffico in uscita accetta uno dei due percorsi seguenti:

La tua VNet. Per impostazione predefinita, tutto il traffico in uscita non piattaforma passa attraverso una subnet delegata nella rete virtuale. Si applicano tutte le regole del gruppo di sicurezza di rete, i criteri firewall, il DNS personalizzato e i log di rete. L'agente è soggetto agli stessi controlli di qualsiasi altro carico di lavoro in tale subnet. Può raggiungere ciò che la subnet può raggiungere e niente di più.

L'agente può raggiungere le risorse dietro endpoint privati, servizi interni e sistemi locali connessi tramite ExpressRoute o VPN, purché le route di rete e le regole lo consentano.

Rete infrastrutturale dell'agente SRE di Azure I servizi della piattaforma da cui dipende l'agente (orchestrazione, endpoint del modello, telemetria) vengono sempre instradati attraverso l'infrastruttura gestita di Microsoft. Questi servizi non sono configurabili. Alcune funzionalità dell'agente, ad esempio l'installazione dei pacchetti, l'accesso al repository di codice e i server MCP remoti richiedono il raggiungimento dei servizi pubblici. Per utilizzare queste funzionalità in modalità Azure VNet, attiva l'interruttore corrispondente. Se un interruttore è disattivato, tale funzionalità non è disponibile a meno che la rete virtuale non possa instradare direttamente tali servizi, ad esempio tramite regole del firewall basate su FQDN. Vedere Azure SRE Agent infra network per i dettagli.

Riepilogo del routing del traffico

Configurare Azure modalità rete virtuale

Requisiti della subnet

La modalità VNet di Azure richiede una subnet dedicata nella rete virtuale:

• Taglia: /27 o più.
• Delega: la sottorete deve essere delegata a Microsoft.App/environments.
• Area: la subnet deve trovarsi nella stessa area della risorsa agente SRE.
• Dedicato: la subnet non può essere condivisa con altri servizi.

Configurare Azure modalità rete virtuale

1. Passare a Impostazioni Configurazione>area di lavoro>Rete.
2. Selezionare Azure VNet come modalità di uscita.
3. Selezionare Sfoglia sottoreti.
4. Selezionare la sottoscrizione, il gruppo di risorse, la rete virtuale e la subnet che soddisfano i requisiti della subnet.
5. Seleziona Salva.
6. Testare l'agente con un evento imprevisto rappresentativo per verificare che possa raggiungere le risorse necessarie.

Rete infrastrutturale dell'agente SRE di Azure

Alcune funzionalità dell'agente dipendono da servizi pubblici che è difficile inserire in un elenco di elementi consentiti in base all'indirizzo IP. In modalità Azure VNet, queste funzionalità richiedono un'opzione infra network (che instrada quella categoria attraverso la rete infra dell'agente Azure SRE) oppure regole del firewall basate su FQDN nella rete virtuale che permettano il passaggio diretto del traffico. Vedere il riepilogo del routing di traffico per l'elenco completo di categorie e percorsi.

Se si disattiva un interruttore e la rete virtuale non riesce a raggiungere il servizio, tale funzionalità non è disponibile.

Pacchetti preinstallati

Preinstallare i pacchetti nell'immagine del disco di base sandbox in modo che siano disponibili ogni volta che viene eseguito l'agente. Questa funzionalità è utile quando gli strumenti o gli script dipendono da pacchetti specifici che non sono inclusi nell'ambiente sandbox predefinito.

Per configurare i pacchetti preinstallati:

1. Aprire l'agente nel portale di Azure e selezionare Impostazioni>Configurazioneworkspace.

2. Selezionare la scheda Pacchetti .

3. Immettere il nome del pacchetto, selezionare la gestione pacchetti (pip o NuGet) e, facoltativamente, specificare una versione.

4. Selezionare + Aggiungi pacchetto.

Controlli di esclusione della rete virtuale

Quando si abilita Azure modalità rete virtuale, la sezione Rete infrastruttura della pagina di configurazione dell'area di lavoro consente di instradare categorie di traffico all'esterno della rete virtuale tramite la rete Internet pubblica. Se non si abilita nessuno di questi controlli, tutto il traffico dell'agente viene instradato attraverso la rete virtuale.

Non tutti i servizi esterni forniscono un tag di servizio Azure. GitHub, ad esempio, non è un servizio Azure e non espone un tag di servizio. Se l'agente deve raggiungere GitHub, l'unica opzione con un firewall basato su IP di livello 4 consiste nel mantenere un elenco degli indirizzi IP del provider. Questi elenchi cambiano frequentemente e un firewall che non viene mantenuto aggiornato compromette il funzionamento dell'agente.

Lo stesso vale per diversi servizi pubblici principali, ad esempio PyPI, npm, NuGet e registri contenitori. Questi servizi operano da intervalli IP globali di grandi dimensioni e spesso modificati e non sono coperti da tag di servizio Azure.

Gli interruttori di bypass consentono all'agente di raggiungere questi host tramite l'uscita della piattaforma. Il team di rete aggiorna le regole del firewall o passa a un firewall che supporta il filtro dei nomi host o il filtro del nome di dominio completo (FQDN). Gli esempi includono Firewall di Azure Premium con regole FQDN o un'appliance virtuale di rete che supporta l'ispezione di Transport Layer Security.

Considera i controlli di bypass come una soluzione temporanea, non come un sostituto permanente del filtraggio del traffico in uscita basato sul nome host.

Di seguito sono illustrati i controlli disponibili:

Considerazioni sulla governance

L'accesso a questi controlli è limitato agli utenti con il ruolo amministratore agente SRE. La creazione di un agente SRE in un ambiente aziendale è un atto di governance significativo perché le organizzazioni richiedono in genere un'approvazione sostanziale per distribuire i servizi nell'ambiente di produzione. I controlli di bypass rappresentano un aspetto del più ampio quadro di governance aziendale, che comprende identità gestite, credenziali per conto di (OBO) e autorizzazioni RBAC. L'agente può fare solo ciò che le sue autorizzazioni gli consentono, e la configurazione di rete controlla dove va quel traffico.

Ispezionare l'attività di rete

Gli amministratori possono aprire Impostazioni>, configurazione> dello spaziodi lavoro, ispezionare e usare l'audit di rete per esaminare le richieste in uscita filtrate, permesse e negate dall'agente. Usa host, metodo, percorso e decisione per identificare le destinazioni bloccate dalla policy Limited o Azure VNet.

L'audit di rete copre solo le decisioni relative alla politica di uscita degli agenti. Non è una traccia completa di audit di rete e non include ogni runtime, connettore, piattaforma, firewall, DNS o evento proxy.

Cosa accade quando la rete blocca una chiamata

Se una richiesta in uscita viene negata da una regola NSG o non dispone di alcun percorso, l'agente riscontra lo stesso errore di rete che riscontrerebbe qualsiasi carico di lavoro in quella subnet. L'agente segnala l'errore nell'output dell'indagine (ad esempio, "Impossibile raggiungere l'area di lavoro di Log Analytics: timeout di connessione") e continua usando gli strumenti e i dati a cui riesce ad accedere. Se un'origine dati critica non è raggiungibile, l'indagine è incompleta e l'agente segnala questa condizione.

Limitations

Si applicano le limitazioni seguenti.

• Solo traffico in uscita: l'integrazione con la rete virtuale controlla solo il traffico in uscita (egress). Le connessioni in ingresso all'agente dall'interno di una rete privata non sono supportate.

• I connettori non vengono instradati tramite la rete virtuale: il traffico dei connettori viene instradato tramite Internet pubblico.

Contenuti correlati

• Cos'è una rete virtuale di Azure?
• Requisiti di rete dell'agente SRE
• Domande frequenti su SRE Agent