Privé-eindpunten gebruiken met Azure Maps (preview)

Azure Maps ondersteunt Azure Private Link, waardoor beveiligde toegang tot Azure Maps-services mogelijk is via een privé-eindpunt in uw virtuele netwerk. Een privé-eindpunt wijst een privé-IP-adres van uw virtuele netwerk toe aan de Azure Maps-service, zodat verkeer tussen uw toepassingen en Azure Maps op het Microsoft backbone-netwerk blijft in plaats van op het openbare internet. Dit biedt verbeterde beveiliging en netwerkisolatie. U kunt een privé-eindpunt maken wanneer u een Azure Maps-account maakt of er een toevoegt aan een bestaand account.

Voordelen van privé-eindpunten voor Azure Maps

Privé-eindpunten bieden de volgende voordelen voor Azure Maps-accounts:

  • Geen blootstelling aan openbaar internet: U kunt uw Azure Maps-account isoleren van het openbare internet om de blootstelling aan externe bedreigingen te verminderen. Alleen clients in uw privénetwerk hebben toegang tot het account. Dit kan worden gedaan door externe toegang te blokkeren via de functie publicNetworkAccess .
  • Beveiligde VNet-communicatie: Resources in uw virtuele netwerk (zoals VM's en containers) communiceren met Azure Maps met behulp van privé-IP-adressen. Verkeer blijft binnen het VNet, vereenvoudigt de netwerkbeveiliging en vermijdt openbare netwerken, wat helpt te voldoen aan interne beveiligings- en nalevingsvereisten.

Opmerking

Alle REST API's van Azure Maps (inclusief Render, Search, Routing en Weather) worden volledig ondersteund met Private Link, zonder verlies van functionaliteit. Het gebruik van Azure Maps met Private Link werkt hetzelfde als openbare toegang, met extra beveiliging.

Vereiste voorwaarden

Als je geen Azure-abonnement hebt, maak dan een gratis account aan voordat je begint.

  • Een Azure Maps-account. Gebruik een Maps-account en een virtueel netwerk in dezelfde Azure-regio voor optimale prestaties.
  • Een virtueel netwerk en subnet: een virtueel netwerk en subnet in uw Azure-abonnement voor het privé-eindpunt. Het subnet moet beschikbare IP-adressen hebben.
  • Vereiste machtigingen
    • Als u een privé-eindpunt wilt maken dat automatisch wordt goedgekeurd, hebt u het volgende nodig:
      • Azure Maps-inzender in het Azure Maps-account
      • Netwerkdeelnemer op het virtuele netwerk
    • Als u een privé-eindpunt wilt maken waarvoor handmatige goedkeuring is vereist, is alleen de rol Inzender voor het netwerk vereist.
  • Kies of Azure DNS automatisch beheert voor het privé-eindpunt met behulp van privé-DNS van Azure of dns handmatig beheert. In de meeste gevallen biedt Azure Private DNS de eenvoudigste configuratie.

Een privé-eindpunt configureren voor Azure Maps

Als u privéconnectiviteit wilt inschakelen voor een Azure Maps-account, maakt u een privé-eindpunt en configureert u DNS om verkeer via uw virtuele netwerk te routeren.

1. Het privé-eindpunt maken (portal of CLI)

Ga in Azure Portal naar Een resource maken en zoek naar een privé-eindpunt. U kunt ook een privé-eindpunt maken vanuit de sectie Netwerken van uw Azure Maps-resource. Selecteer Maken om de wizard te openen.

  • Basics: Selecteer het juiste abonnement en de juiste resourcegroep voor de eindpuntresource en kies een naam en regio (gebruik dezelfde regio als uw VNet).
  • Resource: Kies voor de verbindingsmethodeVerbinding maken met een Azure-resource in mijn directory. Stel vervolgens het volgende in:
    • Hulpmiddeltype = Microsoft.Maps/accounts. Dit vertelt Azure dat u een privékoppeling naar een Azure Maps-account wilt.
    • Resource = De naam van uw Azure Maps-account. Het specifieke Azure Maps-account kiezen
    • Doelsubresource = mapsAccount. Azure Maps heeft één private link-subresource die het gegevensvlak van het account vertegenwoordigt.
  • Configuratie: Selecteer het virtuele netwerk en het subnet waarin het privé-eindpunt is geplaatst. Zorg ervoor dat het subnet ruimte heeft voor één IP-adres. Laat privé-DNS-integratie ingeschakeld, tenzij u van plan bent DNS handmatig te configureren. Wanneer DNS-integratie is ingeschakeld, maakt Azure een privé-DNS-zone voor privatelink.account.maps.azure.com en voegt u automatisch de benodigde DNS-record toe.

Zodra het maken is voltooid, gaat u naar uw Azure Maps-account in de portal en gaat u naar privé-eindpuntverbindingen voor > netwerken. Er wordt een nieuwe verbinding weergegeven. Als de maker van het privé-eindpunt eigenaar is van of over de juiste machtigingen beschikt voor het Azure Maps-account, wordt de verbinding doorgaans automatisch goedgekeurd (de status 'Goedgekeurd'). Als er 'In behandeling' wordt weergegeven, is handmatige goedkeuring mogelijk vereist. Na goedkeuring wordt de private link tot stand gebracht.

Voorbeeld: Azure CLI gebruiken

Met de volgende Azure CLI-opdracht maakt u een privé-eindpunt voor een Azure Maps-account, vergelijkbaar met de bovenstaande portalstappen:

az network private-endpoint create \
  --name <MyPrivateEndpointName> \
  --resource-group <MyResourceGroup> \
  --vnet-name <MyVNetName> \
  --subnet <MySubnetName> \
  --private-connection-resource-id "/subscriptions/<SubscriptionID>/resourceGroups/<MyResourceGroup>/providers/Microsoft.Maps/accounts/<MyMapsAccountName>" \
  --group-id mapsAccount \
  --connection-name <MyConnectionName>

Met deze opdracht geeft u de resource-id van het Maps-account en de mapsAccount subresource op, samen met het virtuele netwerk en het subnet dat wordt gebruikt voor het privé-eindpunt.

2. DNS configureren voor het privé-eindpunt

Als u privé-DNS-integratie hebt ingeschakeld bij het maken van het privé-eindpunt (de standaardinstelling), maakt Azure automatisch een privé-DNS-zone voor privatelink.account.maps.azure.com uw abonnement en koppelt deze aan uw virtuele netwerk.

Binnen deze zone wijst een DNS-record de unieke id en regio van uw Azure Maps-account toe aan het privé-IP-adres van het eindpunt. Als de client-id van uw Maps-account bijvoorbeeld is abc123 en de regio is East US, wordt die hostnaam omgezet in het IP-adres van het privé-eindpunt:

  • Recordnaam:abc123.eastus.account.maps.azure.com
  • Recordwaarde:10.x.y.z - Het privé-IP-adres dat is toegewezen aan het eindpunt.

Clients in het virtuele netwerk omzetten de hostnaam in een privé-IP-adres voor privéconnectiviteit, terwijl clients buiten het netwerk dezelfde hostnaam omzetten in het openbare Azure Maps-eindpunt. Met deze split-horizon DNS-benadering kunt u één eindpunt-URL zowel binnen als buiten het virtuele netwerk gebruiken.

Als u geen automatische DNS-integratie gebruikt, configureert u DNS handmatig zodat de hostnaam van het Azure Maps-account
(<maps-account-client-id>.<location>.account.maps.azure.com) wordt omgezet in het IP-adres van het privé-eindpunt in uw netwerk. Zie de DNS-documentatie voor Privé-eindpunten van Azure voor meer informatie.

3. Gebruik het privé-eindpunt in uw toepassingen

Als u het privé-eindpunt wilt gebruiken, configureert u uw toepassingen om het azure Maps-accountspecifieke eindpunt aan te roepen. U vindt dit eindpunt op de overzichts - of verificatiepagina's van het Azure Maps-account of in de privé-eindpuntresource onder DNS-configuratie (door de klant zichtbare FQDN's).

Een schermopname van het zijbalkmenu van de Azure-portal voor een privé-eindpuntresource, met de optie DNS-configuratie gemarkeerd onder Instellingen. Het menu bevat opties zoals Overzicht, Activiteitenlogboek, Toegangsbeheer-IAM, Tags, Problemen vaststellen en oplossen, Resource visualiseren, Toepassingsbeveiligingsgroepen, DNS-configuratie en Eigenschappen.

Het toegangspatroon is:

https://{maps-account-client-id}.{location}.account.maps.azure.com

Belangrijk

Als uw toepassing het standaardeindpunt van Azure Maps blijft gebruiken (zoals atlas.microsoft.com), worden aanvragen niet gerouteerd via het privé-eindpunt. Azure Maps SDK's ondersteunen het overschrijven van het standaardeindpunt, dus configureer uw SDK of verbindingscode om uw Azure Maps-accountspecifieke hostnaam te gebruiken. Wanneer deze zijn geconfigureerd, worden aanvragen vanuit uw netwerk automatisch gerouteerd via Private Link.

4. [Optioneel] Openbare netwerktoegang uitschakelen

Zelfs nadat u een privé-eindpunt hebt gemaakt, blijven de openbare eindpunten van uw Azure Maps-account standaard actief. Hierdoor kunnen bestaande toepassingen buiten het virtuele netwerk blijven werken totdat u ze opzettelijk beperkt. Als u exclusieve privétoegang nodig hebt, schakelt u openbare netwerktoegang voor het Maps-account uit.

Open uw Maps-account in Azure Portal en ga naar Netwerken. Openbare toegang instellen op Uitschakelen en opslaan. Zodra dit is voltooid, weigert Azure Maps verbindingspogingen via het openbare eindpunt. Hiermee voegt u een extra beveiligingslaag toe: zelfs als iemand uw Maps-verificatiesleutel of SAS-token heeft, kan deze niet worden gebruikt vanaf internet zodra openbare toegang is uitgeschakeld.

U kunt openbare toegang ook uitschakelen via ARM-sjablonen of de Azure CLI door de eigenschap publicNetworkAccess in te stellen op Disabled.

Nadat u openbare netwerktoegang hebt uitgeschakeld, valideert u de connectiviteit vanuit elke toepassing. Openbare eindpunten (bijvoorbeeld) worden standaard atlas.microsoft.comgeblokkeerd, dus werk alle toepassings- en SDK-configuraties bij om het privé-DNS-eindpunt te gebruiken.

Overige overwegingen

  • DNS-resolutie: Als u geen verbinding kunt maken met Azure Maps via het privé-eindpunt, controleert u uw DNS-configuratie, omdat DNS-problemen een veelvoorkomende oorzaak van verbindingsproblemen zijn.
  • Meerdere netwerken: U kunt meerdere privé-eindpunten maken voor één Azure Maps-account om verbinding te maken vanuit verschillende virtuele netwerken. Elk privé-eindpunt gebruikt één IP-adres uit het geselecteerde subnet.

Als u Azure Private Link gebruikt met Azure Maps, blijft al het toepassingsverkeer op privénetwerken staan. Dit verbetert de beveiliging en ondersteunt het bedrijfsnetwerkbeleid, terwijl de volledige Functionaliteit van Azure Maps behouden blijft. Azure Maps wordt geopend via privé-IP-adressen en DNS, zodat verkeer binnen uw gecontroleerde netwerkgrens blijft.

Vraag copilot

Verwante inhoud

  • Laatst bijgewerkt om