Limitare l'accesso all'importazione ed esportazione per i dischi gestiti usando collegamento privato

subscriptionId=yourSubscriptionId
resourceGroupName=yourResourceGroupName
region=northcentralus
diskAccessName=yourDiskAccessForPrivateLink
vnetName=yourVnetForPrivateLink
subnetName=yourSubnetForPrivateLink
privateEndpointName=yourPrivateEndpointForSecureMDExportImport
privateEndpointConnectionName=yourPrivateEndpointConnection
privateDnsZoneName=privatelink.blob.core.windows.net
privateDnsZoneLinkName=yourDnsLink
privateDnsZoneGroupName=yourZoneGroup

# The name of an existing disk that is the source of the snapshot.
sourceDiskName=yourSourceDiskForSnapshot

# The name of the new snapshot secured with Private Link.
snapshotNameSecuredWithPrivateLink=yourSnapshotNameSecuredWithPrivateLink

az login
az account set --subscription $subscriptionId

$subscriptionId = "yourSubscriptionId"
$resourceGroupName = "yourResourceGroupName"
$location = "NorthCentralUS"
$diskAccessName = "yourDiskAccessForPrivateLink"
$vnetName = "yourVnetForPrivateLink"
$subnetName = "yourSubnetForPrivateLink"
$privateEndpointName = "yourPrivateEndpointForSecureMDExportImport"
$privateEndpointConnectionName = "yourPrivateEndpointConnection"
$privateDnsZoneName = "privatelink.blob.core.windows.net"
$privateDnsZoneLinkName = "yourDnsLink"
$privateDnsZoneGroupName = "yourZoneGroup"

# The name of an existing disk that is the source of the snapshot.
$sourceDiskName = "yourSourceDiskForSnapshot"

# The name of the new snapshot secured with Private Link.
$snapshotNameSecuredWithPrivateLink = "yourSnapshotNameSecuredWithPrivateLink"

Connect-AzAccount
Set-AzContext -Subscription $subscriptionId

Usa il gruppo di risorse, l'area geografica e il nome della risorsa di accesso al disco che hai definito in precedenza. Il comando az disk-access create crea la risorsa di accesso al disco. Az disk-access show archivia quindi l'ID risorsa in $diskAccessId per le procedure successive.

az disk-access create -n $diskAccessName -g $resourceGroupName -l $region

diskAccessId=$(az disk-access show -n $diskAccessName -g $resourceGroupName --query [id] -o tsv)

Usare il gruppo di risorse, il percorso e il nome della risorsa di accesso al disco definiti in precedenza. Il cmdlet New-AzDiskAccess crea la risorsa di accesso al disco e la archivia in $diskAccess. Il comando successivo archivia l'ID risorsa in $diskAccessId per le procedure successive.

$diskAccess = New-AzDiskAccess -ResourceGroupName $resourceGroupName -Name $diskAccessName -Location $location
$diskAccessId = $diskAccess.Id

Usare il gruppo di risorse, la rete virtuale e i nomi di subnet definiti in precedenza. Il comando az network vnet create crea la rete virtuale e la subnet. Quindi, az network vnet subnet update disabilita i criteri di rete dei private endpoint nella subnet.

az network vnet create --resource-group $resourceGroupName \
    --name $vnetName \
    --subnet-name $subnetName

az network vnet subnet update --resource-group $resourceGroupName \
    --name $subnetName \
    --vnet-name $vnetName \
    --private-endpoint-network-policies Disabled

Usa il gruppo di risorse, l'area, la rete virtuale e i nomi delle subnet che hai definito in precedenza. Il cmdlet New-AzVirtualNetworkSubnetConfig crea una configurazione della subnet con criteri di rete degli endpoint privati disabilitati. Quindi, New-AzVirtualNetwork crea la rete virtuale e la subnet e archivia la rete virtuale in $vnet.

$subnetConfig = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.0.0/24" -PrivateEndpointNetworkPoliciesFlag "Disabled"

$vnet = New-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name $vnetName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnetConfig

Usare il gruppo di risorse, l'endpoint privato, la rete virtuale, la subnet e i nomi di connessione definiti in precedenza. Anche questa procedura utilizza $diskAccessId dalla procedura relativa alla risorsa di accesso al disco. Il comando az network private-endpoint create crea un endpoint privato per la risorsa di accesso al disco.

az network private-endpoint create --resource-group $resourceGroupName \
    --name $privateEndpointName \
    --vnet-name $vnetName \
    --subnet $subnetName \
    --private-connection-resource-id $diskAccessId \
    --group-ids disks \
    --connection-name $privateEndpointConnectionName

Usa il gruppo di risorse, la località, l'endpoint privato, la subnet e i nomi di connessione definiti in precedenza. Questa procedura utilizza anche $vnet e $diskAccessId nelle procedure precedenti. I cmdlet ottengono la subnet, creano una connessione al servizio di collegamento privato alla risorsa di accesso al disco e quindi creano l'endpoint privato.

$subnet = Get-AzVirtualNetworkSubnetConfig -Name $subnetName -VirtualNetwork $vnet

$privateLinkServiceConnection = New-AzPrivateLinkServiceConnection -Name $privateEndpointConnectionName -PrivateLinkServiceId $diskAccessId -GroupId "disks"

$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $resourceGroupName -Name $privateEndpointName -Location $location -Subnet $subnet -PrivateLinkServiceConnection $privateLinkServiceConnection

Usare il gruppo di risorse, la zona DNS privata, il collegamento di rete virtuale, l'endpoint privato e i nomi dei gruppi di zone DNS definiti in precedenza. I comandi seguenti creano la zona DNS privata, la collegano alla rete virtuale e la associano all'endpoint privato.

az network private-dns zone create --resource-group $resourceGroupName \
    --name $privateDnsZoneName

az network private-dns link vnet create --resource-group $resourceGroupName \
    --zone-name $privateDnsZoneName \
    --name $privateDnsZoneLinkName \
    --virtual-network $vnetName \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
   --resource-group $resourceGroupName \
    --endpoint-name $privateEndpointName \
   --name $privateDnsZoneGroupName \
   --private-dns-zone $privateDnsZoneName \
   --zone-name disks

Usare il gruppo di risorse, la zona DNS privata, il collegamento di rete virtuale, l'endpoint privato e i nomi dei gruppi di zone DNS definiti in precedenza. I cmdlet seguenti creano la zona DNS privata, la collegano a $vnet, configurano la zona e la associano all'endpoint privato.

$privateDnsZone = New-AzPrivateDnsZone -ResourceGroupName $resourceGroupName -Name $privateDnsZoneName

New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $resourceGroupName -ZoneName $privateDnsZoneName -Name $privateDnsZoneLinkName -VirtualNetworkId $vnet.Id

$privateDnsZoneConfig = New-AzPrivateDnsZoneConfig -Name $privateDnsZoneName -PrivateDnsZoneId $privateDnsZone.ResourceId

New-AzPrivateDnsZoneGroup -ResourceGroupName $resourceGroupName -PrivateEndpointName $privateEndpointName -Name $privateDnsZoneGroupName -PrivateDnsZoneConfig $privateDnsZoneConfig

Definire il nome del disco gestito, lo SKU di archiviazione e le dimensioni per questa procedura. La procedura riutilizza il gruppo di risorse, l'area e il nome della risorsa di accesso al disco definiti in precedenza. Il comando az disk create crea un disco gestito vuoto, lo associa alla risorsa di accesso al disco e imposta i criteri di accesso alla rete su AllowPrivate.

# These variables are specific to this step.
diskName=yourDiskName
diskSkuName=Standard_LRS
diskSizeGB=128

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az disk create -n $diskName \
    -g $resourceGroupName \
    -l $region \
    --size-gb $diskSizeGB \
    --sku $diskSkuName \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Definire il nome del disco gestito, lo SKU di archiviazione e le dimensioni per questa procedura. La procedura riutilizza il gruppo di risorse, la posizione e $diskAccessId i valori definiti in precedenza. Il cmdlet New-AzDiskConfig crea una configurazione del disco che usa AllowPrivatee New-AzDisk crea il disco gestito vuoto.

$diskName = "yourDiskName"
$diskSkuName = "Standard_LRS"
$diskSizeGB = 128

$diskConfig = New-AzDiskConfig -Location $location -SkuName $diskSkuName -CreateOption Empty -DiskSizeGB $diskSizeGB -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzDisk -ResourceGroupName $resourceGroupName -DiskName $diskName -Disk $diskConfig

Usare il disco di origine esistente, il nuovo snapshot, il gruppo di risorse, l'area e i nomi delle risorse di accesso al disco definiti in precedenza. Il comando az disk show ottiene l'ID disco di origine. Quindi, az snapshot create crea lo snapshot, lo associa alla risorsa di accesso al disco e imposta il criterio di accesso alla rete su AllowPrivate.

# This step reuses variables defined in the first CLI sample.

diskId=$(az disk show -n $sourceDiskName -g $resourceGroupName --query [id] -o tsv)

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az snapshot create -n $snapshotNameSecuredWithPrivateLink \
    -g $resourceGroupName \
    -l $region \
    --source $diskId \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Usare il disco di origine esistente, il nuovo snapshot, il gruppo di risorse, il percorso e l'ID risorsa di accesso al disco definiti in precedenza. Il cmdlet Get-AzDisk ottiene il disco di origine. New-AzSnapshotConfig crea quindi una configurazione snapshot che usa AllowPrivatee New-AzSnapshot crea lo snapshot.

$sourceDisk = Get-AzDisk -ResourceGroupName $resourceGroupName -DiskName $sourceDiskName

$snapshotConfig = New-AzSnapshotConfig -Location $location -CreateOption Copy -SourceResourceId $sourceDisk.Id -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzSnapshot -ResourceGroupName $resourceGroupName -SnapshotName $snapshotNameSecuredWithPrivateLink -Snapshot $snapshotConfig