Vereisten voor Storage Mover-netwerken

Azure Storage Mover is een service die is ontworpen om naadloze gegevensmigratie naar Azure Storage-accounts te vergemakkelijken. Voor organisaties die prioriteit geven aan beveiliging en naleving, zorgt de integratie van Storage Mover met Azure Private Networking ervoor dat gevoelige gegevens en referenties tijdens het migratieproces beveiligd blijven.

Azure Storage Mover-communicatie vindt plaats via HTTPS. Deze versleutelde communicatie maakt migraties via het openbare internet voldoende veilig voor veel organisaties. Deze organisaties vereisen mogelijk geen privénetwerktoegang tot hun opslagaccount en sleutelkluis. Voor organisaties die prioriteit geven aan beveiliging en naleving, zorgt de integratie van Storage Mover met Azure Private Networking ervoor dat gevoelige gegevens en referenties tijdens het migratieproces beveiligd blijven. Deze configuraties beginnen meestal met het maken van een virtueel Azure-netwerk, dat fungeert als de basis voor beveiligde connectiviteit. Zie Wat is een virtueel Azure-netwerk voor meer informatie over virtuele Azure-netwerken.

Om een on-premises infrastructuur te koppelen aan Azure, moeten organisaties hybride connectiviteit inschakelen. Deze hybride koppeling kan worden gemaakt met behulp van een site-naar-site-VPN via Azure VPN Gateway of Azure ExpressRoute. Met beide opties worden privétunnels tot stand gebracht waarmee beveiligde toegang tot Azure-resources mogelijk is. Zie Wat is een Azure VPN Gateway of Wat is Azure ExpressRoute voor meer informatie over Azure VPN Gateway of ExpressRoute.

Privé-eindpunten spelen ook een belangrijke rol bij deze benadering, zodat services zoals Azure Storage-accounts en Azure Key Vaults privé toegankelijk zijn. Deze eindpunten bevinden zich in een subnet van het virtuele netwerk en vereisen dns-records (Domain Name System) om privé-IP-adressen correct op te lossen. Tijdens de installatie kunnen gebruikers een privé-DNS-zone configureren om deze records te beheren. Zie Wat is een privé-eindpunt in Azure voor meer informatie over privé-eindpunten.

In dit artikel worden de belangrijkste vereisten en configuratiestappen beschreven die nodig zijn voor het implementeren van Azure Storage Mover in een privénetwerkomgeving.

Overzicht van netwerken

Wanneer Azure Storage Mover wordt geïmplementeerd in een privénetwerkomgeving, moeten verschillende onderdelen worden geconfigureerd om een veilige en efficiënte werking te garanderen. De Storage Mover-agent, die de werkelijke gegevensmigratietaken uitvoert, moet verbinding maken met verschillende Azure-services. Sommige van deze services ondersteunen privé-eindpunten, terwijl andere openbare eindpunttoegang vereisen.

Vereiste poorten

Een opslagmover-agent ondersteunt zowel SMB- als NFS-clients. De volgende lijst met poorten moet zijn ingeschakeld tussen een VM van de Storage Mover-agent, een opslag-VM en een Azure-bestandsshare.

Vereiste services en eindpunten

De volgende tabel bevat een overzicht van de vereiste services, hun eindpunttypen en of privétoegang wordt ondersteund. Omdat uw netwerkinstellingen de Storage Mover-agent moeten toestaan om via HTTPS verbinding te maken met de eindpunten van de service, wordt de FQDN (Fully Qualified Domain Name) ook opgenomen.

In de volgende secties worden de vereiste onderdelen, openbare eindpuntafhankelijkheden en netwerkoverwegingen beschreven voor het implementeren van Storage Mover in een particulier netwerk.

Vereisten voor privénetwerken

Binnen de Storage Mover-hiërarchie is een opslagmover-resource de serviceresource op het hoogste niveau die u in uw Azure-abonnement implementeert. Alle aspecten van de service en uw migratie worden beheerd vanuit deze resource. Opslag-Mover-agents voeren echter het grootste deel van de migratiewerkzaamheden uit. Storage Mover-agents zijn virtuele machines in uw netwerk die worden gebruikt om migraties te vergemakkelijken door de gegevensoverdracht uit te voeren.

Om ervoor te zorgen dat een Storage Mover-agent binnen een particulier netwerk kan werken, moet deze verbinding maken met verschillende Azure-services. Sommige van deze services ondersteunen privé-eindpunten, terwijl andere openbare eindpunttoegang vereisen.

Om ervoor te zorgen dat een Storage Mover-agent privé verbinding maakt met Azure-resources, zijn de volgende onderdelen vereist:

• Azure Virtual Network:
  Een virtueel Azure-netwerk is een geïsoleerd netwerk binnen Azure dat de basis biedt voor privéconnectiviteit. Hiermee kunt u subnetten definiëren, routering configureren en netwerkbeveiligingsgroepen (NSG's) instellen om de verkeersstroom te beheren. Het virtuele netwerk fungeert als de backbone voor het veilig verbinden van uw on-premises infrastructuur met Azure-resources.
• VPN Gateway of ExpressRoute:
  U kunt een VPN-gateway of Azure ExpressRoute gebruiken om uw on-premises netwerk te koppelen aan uw virtuele Azure-netwerk. Een VPN Gateway wordt gebruikt voor site-naar-site-VPN-verbindingen tussen netwerken, terwijl ExpressRoute een toegewezen privéverbinding biedt. Beide opties maken beveiligde communicatie mogelijk tussen on-premises infrastructuur en Azure-resources.
• Privé-eindpunten:
  Privé-eindpunten van Azure zijn resources die Azure-services veilig kunnen verbinden met behulp van een privé-IP-adres van uw virtuele netwerk. U kunt de toegang tot clients in uw virtuele netwerk beperken door een privé-eindpuntresource te maken en deze toe te wijzen aan een andere bestaande resource, zoals een opslagaccount of key vault.
• DNS-configuratie:
  De juiste DNS-configuratie is nodig om de IP-adressen van het privé-eindpunt van uw resource-eindpunten op te lossen. Omdat u een privé-DNS-zone kunt maken en deze tijdens het maken van een privé-eindpunt aan uw virtuele netwerk kunt koppelen, kan deze configuratie worden uitgevoerd tijdens de installatie.

Alle services die ondersteuning bieden voor privé-eindpunten, kunnen ook worden geopend als openbare eindpunten, hoewel sommige resources kunnen worden geconfigureerd om openbare verbindingen te weigeren of toe te staan.

In het volgende diagram ziet u een voorbeeld van een resourcetopologie voor het inschakelen van privéconnectiviteit met alle eindpunten die deze ondersteunen.

¹ Arc Private Link-bereiken bieden toegang tot drie Arc-services, zoals weergegeven in de afbeelding. De Extensions Arc-service wordt niet gebruikt door de Storage Mover-agent. De afbeelding wordt gedempt weergegeven om verwarring te voorkomen.
² Arc Private Link-bereiken en de drie Arc-services waarmee ze verbinding maken, kunnen beide rechtstreeks worden geopend via openbare eindpunten. Het Bereik van Arc Private Link kan worden geconfigureerd om openbare netwerktoegang in of uit te schakelen.
³ De aanbevolen best practice is om meerdere virtuele Netwerken van Azure te gebruiken. Gebruik de Azure VPN Gateway om verbinding te maken met het virtuele netwerk hub. Gebruik een tweede virtueel netwerk als 'spoke', dat met behulp van peering van virtuele netwerken is verbonden met de 'hub', om de resources te bevatten. Zie Wat is een Azure-landingszone voor gedetailleerde richtlijnen.

Afhankelijkheden van openbaar eindpunt

Ondanks de nadruk op privénetwerken zijn bepaalde vereiste Storage Mover-services alleen toegankelijk via openbare eindpunten, zoals wordt weergegeven in het voorgaande diagram. Deze services kunnen veilig worden geopend via openbare eindpunten met behulp van ExpressRoute Microsoft-peering, die een privétunnel naar Azure-services biedt. Zie Microsoft Peering voor meer informatie.

De volgende eindpunten moeten toegankelijk zijn via openbare eindpunten om de Storage Mover-agent correct te laten functioneren:

• Microsoft Artifact Registry voor automatische agentupdates.
• De Storage Mover-service voor agenthartslagen en taakcoördinatie.
• Event Hubs voor het publiceren van kopieerlogboeken.
• Azure AD/Microsoft Entra-id voor registratie en identiteitsbeheer.
• Azure Resource Manager voor registratie en resourcebeheer.

Overwegingen voor Arc-ingeschakelde servers

De Storage Mover-agent is een server met Arc en vereist connectiviteit met verschillende Azure-services. Omdat veel Arc-services geen rechtstreekse ondersteuning bieden voor Azure Private Endpoint-resources, moet u bepalen of uw vereisten communicatie met Arc privé omvatten. Zo ja, dan is het raadzaam om een Azure Arc Private Link-bereik te configureren.

Met een Private Link-bereik kunt u privéconnectiviteit onderhouden door de gegevensstroom tussen privé-eindpunten en de Arc-services te vergemakkelijken die zijn vereist door de Storage Mover-agent. Zie Azure Private Link gebruiken om servers veilig te verbinden met Azure Arc voor meer informatie over Arc Private Link-bereiken.

Aanvullende aandachtspunten voor netwerken

Naast de kernonderdelen zijn er netwerkoverwegingen die kunnen worden geconfigureerd om de beveiliging en functionaliteit van de Storage Mover-agent te verbeteren. Deze configuraties zijn echter optioneel, zijn afhankelijk van uw specifieke netwerkvereisten en kunnen van invloed zijn op de netwerkprestaties, met name als deze onjuist zijn geconfigureerd.

Proxyondersteuning

De Storage Mover-agent ondersteunt externe HTTP- en HTTPS-proxy's. De configuratie wordt uitgevoerd via de shell van de agent in het menu Netwerkconfiguratie bijwerken in het gedeelte Netwerkconfiguratie bijwerken. Wanneer u hierom wordt gevraagd, selecteert u Proxy en voert u de FQDN (Fully Qualified Domain Name) of het IP-adres van de proxy in. Neem indien nodig het poortnummer op. In het volgende voorbeeld ziet u de configuratiestappen:

SSL-inspectie

Als uw netwerk SSL-onderschepping uitvoert, kan de agent gewijzigde certificaten mogelijk niet herkennen. Het toevoegen van aangepaste certificaten aan de agent wordt momenteel niet ondersteund. Als u problemen wilt voorkomen, voegt u vereiste eindpunten toe aan de acceptatielijst om SSL-inspectie te omzeilen. Deze eindpunten zijn beschikbaar in de sectie Netwerkoverzicht .