Privé-eindpunten en DNS voor virtuele netwerken in Azure Container Apps omgevingen

Azure privé-eindpunten stellen clients in uw privénetwerk in staat om veilig verbinding te maken met uw Azure Container Apps-omgeving via Azure Private Link. Een Private Link-verbinding elimineert blootstelling aan het openbare internet. Privé-eindpunten gebruiken een privé-IP-adres in uw Azure virtuele netwerkadresruimte en worden doorgaans geconfigureerd met een privé-DNS-zone.

Privé-eindpunten worden ondersteund voor zowel Verbruiks- als Toegewezen plannen in werkbelastingprofielomgevingen.

Billing

Voor privé-eindpunten worden extra kosten in rekening gebracht. Wanneer u een privé-eindpunt inschakelt in Container Apps, wordt u gefactureerd voor beide:

  • De Private Link-resource.
  • De toegewezen privé-eindpuntinfrastructuur voor Container Apps. Het wordt als een afzonderlijke toeslag voor Dedicated Plan Management weergegeven en geldt voor zowel verbruiks- als Dedicated-abonnementen.

Instructieartikelen

Overwegingen

  • Als u een privé-eindpunt wilt gebruiken, moet u openbare netwerktoegang uitschakelen. Openbare netwerktoegang is standaard ingeschakeld, wat betekent dat privé-eindpunten zijn uitgeschakeld.
  • Als u een privé-eindpunt wilt gebruiken met een aangepast domein en een apexdomein als het recordtype hostnaam, moet u een privé-DNS-zone met dezelfde naam configureren als uw openbare DNS. Configureer in de recordset het privé-IP-adres van uw privé-eindpunt in plaats van het IP-adres van de Container Apps-omgeving. Wanneer u uw aangepaste domein configureert met CNAME, is de installatie ongewijzigd. Zie Een aangepast domein instellen met een bestaand certificaat voor meer informatie.
  • Het virtuele netwerk van uw privé-eindpunt kan worden gescheiden van het virtuele netwerk dat u hebt geïntegreerd met uw container-app.
  • U kunt een privé-eindpunt toevoegen aan zowel nieuwe als bestaande workloadprofielomgevingen.

Als u verbinding wilt maken met uw container-apps via een privé-eindpunt, moet u een privé-DNS-zone configureren.

Dienst Deelbron Privé-DNS zonenaam
Azure Container Apps (Microsoft.App/ManagedEnvironments) managedEnvironment privatelink.{regionName}.azurecontainerapps.io

U kunt ook privé-eindpunten gebruiken met een privéverbinding met Azure Front Door in plaats van Azure Application Gateway.

DNS (Domeinnaamsysteem)

Het configureren van DNS in het virtuele netwerk van uw Container Apps-omgeving is om de volgende redenen belangrijk:

  • Met DNS kunnen uw container-apps domeinnamen omzetten in IP-adressen, zodat ze services binnen en buiten het virtuele netwerk kunnen detecteren en ermee kunnen communiceren. Deze services omvatten Application Gateway, netwerkbeveiligingsgroepen en privé-eindpunten.

  • Aangepaste DNS-instellingen verbeteren de beveiliging door u de DNS-query's te laten beheren en bewaken die uw container-apps maken. Met deze mogelijkheid kunt u potentiële beveiligingsrisico's identificeren en beperken door ervoor te zorgen dat uw container-apps alleen met vertrouwde domeinen communiceren.

Aangepaste DNS

Als uw virtuele netwerk gebruikmaakt van een aangepaste DNS-server in plaats van de standaard-Azure dns-server, configureert u uw DNS-server om niet-opgeloste DNS-query's door te sturen naar 168.63.129.16. Azure recursieve resolvers dit IP-adres gebruiken om aanvragen op te lossen.

Wanneer u uw netwerkbeveiligingsgroep of firewall configureert, verschillen de DNS-vereisten tussen workloadprofieltypen:

  • Verbruiksabonnement: U moet verkeer naar de AzurePlatformDNS servicetag toestaan (inclusief 168.63.129.16). Als u deze servicetag blokkeert, werkt uw Container Apps-omgeving niet goed, zelfs als u een aangepaste DNS-server hebt geconfigureerd.

  • Toegewezen workloadprofielen: U kunt de servicetag AzurePlatformDNS desgewenst blokkeren, omdat toegewezen workloadprofielen geen toegang tot Azure DNS nodig hebben voor basisfunctionaliteit.

    Voor organisaties met strikte DNS-beveiligingsvereisten (zoals banken en gezondheidszorg) bieden toegewezen workloadprofielen de mogelijkheid om de DNS-verkeersstroom volledig te beheren via aangepaste DNS-servers zonder dat hiervoor Azure DNS toegang is vereist.

Belangrijk

Gebruikers van privé-DNS-zones mogen de resolutie van , *.hcp.<LOCATION>.azmk8s.io en andere DNS-vereisten die met Azure Kubernetes Service worden gedeeld en worden vermeld in mcr.microsoft.com niet blokkeren of overschrijven. Als u niet waarborgt dat de vereiste vermeldingen correct resolveerbaar zijn, verstoort dat de werking en de netwerkfunctionaliteit van uw Container Apps-omgeving.

Inkomend verkeer voor het virtuele netwerkbereik

Als u van plan bent om inkomend verkeer te gebruiken in een interne omgeving voor het bereik van het virtuele netwerk, configureert u uw domeinen op een van de volgende manieren:

  • Niet-aangepaste domeinen: als u geen aangepast domein wilt gebruiken, maakt u een privé-DNS-zone waarmee het standaarddomein van de Container Apps-omgeving wordt omgezet in het statische IP-adres van de Container Apps-omgeving. U kunt Azure Privé-DNS of uw eigen DNS-server gebruiken.

    Als u Azure Privé-DNS gebruikt, maakt u een private DNS zone met de naam het standaarddomein van de Container App-omgeving (<UNIQUE_IDENTIFIER>.<REGION_NAME>.azurecontainerapps.io), met een record A. De A record bevat de naam *<DNS Suffix> en het statische IP-adres van de Container Apps-omgeving. Zie Maak en configureer een Azure Privé-DNS-zone voor meer informatie.

  • Aangepaste domeinen: als u van plan bent om aangepaste domeinen te gebruiken en een externe Container Apps-omgeving gebruikt, gebruikt u een openbaar omzetbaar domein om een aangepast domein en certificaat toe te voegen aan de container-app. Als u een interne Container Apps-omgeving gebruikt, is er geen validatie voor de DNS-binding omdat het cluster alleen beschikbaar is vanuit het virtuele netwerk.

    Maak bovendien een Privé-DNS-zone waarmee het apexdomein wordt omgezet in het statische IP-adres van de Container Apps-omgeving. U kunt Azure Privé-DNS of uw eigen DNS-server gebruiken. Als u Azure Privé-DNS gebruikt, maakt u een private DNS zone met de naam apexdomein, met een A record die verwijst naar het statische IP-adres van de Container Apps-omgeving.

Als u het statische IP-adres van de Container Apps-omgeving wilt ophalen, kunt u een van de volgende methoden gebruiken:

  • Ga in de Azure-portal naar de pagina voor uw container-app en noteer het achtervoegsel Custom DNS.
  • Gebruik in de Azure CLI de opdracht az containerapp env list.

Volgende stap

Een virtueel netwerk bieden aan een Azure Container Apps-omgeving

  • Last updated on