Dit artikel legt uit hoe je private endpoints kunt aanmaken en de toegang tot publieke endpoints voor Azure-bestandsdelingen kunt beperken. Voor klassieke bestandsdelingen (Microsoft. Storage) configureer je het opslagaccount. Voor bestandsdelingen gemaakt met Microsoft. FileShares configureer je elke bestandsdeling. De klassieke stappen voor bestandsdeling gelden ook voor opslagaccounts die door Azure File Sync worden gebruikt. Voor Azure File Sync-netwerkvereisten, zie Azure File Sync-proxy- en firewallinstellingen configureren.
Om te kiezen tussen private endpoints en netwerkregels, zie Azure Files netwerkoverwegingen.
Vereisten
- In dit artikel wordt ervan uitgegaan dat u al een Azure-abonnement hebt gemaakt. Als je geen abonnement hebt, maak een gratis account aan.
- Je hebt een Azure-bestandsdeling nodig waarmee je wilt verbinden. Om te leren hoe je een Azure-bestandsdeling aanmaakt, zie Create a classic file share of Create an Azure file share with Microsoft. FileShares.
- Als u van plan bent om Azure PowerShell te gebruiken, installeert u de nieuwste versie. De Microsoft. FileShares-voorbeelden vereisen versie 16.0.0 of hoger. Deze versie bevat de Az.FileShare-module.
- Als u van plan bent om de Azure CLI te gebruiken, installeer dan de nieuwste versie. De Microsoft. FileShares-voorbeelden hebben de
fileshare extensie nodig. Voer az extension add --name fileshare uit om het te installeren.
Een privé-eindpunt maken
Wanneer u een privé-eindpunt voor uw bestandsshares maakt, implementeert u de volgende Azure resources:
-
Een privé-eindpunt: een Azure resource die het privé-eindpunt vertegenwoordigt. U kunt deze resource beschouwen als een connector tussen een doelresource en een netwerkinterface.
-
Een netwerkinterface (NIC):de netwerkinterface die een privé-IP-adres onderhoudt binnen het opgegeven virtuele netwerk en subnet. Deze resource is hetzelfde als de resource die u implementeert wanneer u een virtuele machine (VM) implementeert. In plaats van deze toe te wijzen aan een virtuele machine, is het privé-eindpunt eigenaar van het eindpunt.
-
Een privé Domain Name System (DNS) zone: Deze stappen creëren of hergebruiken een Azure private DNS-zone die gekoppeld is aan het virtuele netwerk en voegen een A-record toe voor het privé-endpoint. Je kunt in plaats daarvan je eigen DNS-infrastructuur gebruiken, mits clients de hostnaam van de bestandsdeling laten verwijzen naar het IP-adres van het privé-endpoint.
Notitie
In de publieke cloud van Azure gebruiken beide resourceproviders de private DNS-zoneprivatelink.file.core.windows.net. Hun hostnamen van de client verschillen; zie Connectiviteit controleren voor voorbeelden. Voor klassieke bestandsdelingen in andere Azure-clouds gebruik je het achtervoegsel storage endpoint voor die cloud.
Het creatieproces van private endpoints verschilt enigszins, afhankelijk van of je klassieke bestandsdelingen of Microsoft.FileShares gebruikt. Voor klassieke bestandsdelingen maak je een privé-endpoint aan voor het opslagaccount dat de bestandsdelingen bevat. Voor bestandsshares die zijn gemaakt met Microsoft.FileShares, maak je een privé-eindpunt voor de bestandsshare zelf.
Veel van de stappen zijn identiek voor beide resourceproviders. Alleen de bronreferentie, groeps-ID en DNS-recordnaam verschillen, zoals weergegeven in de volgende tabel.
|
Klassieke bestandsdeling (Microsoft.Storage) |
Gedeelde bestanden (Microsoft.FileShares) |
|
Doel van privé-eindpunt |
opslagaccount |
Bestand delen |
|
Resource-cmdlet |
Get-AzStorageAccount |
Get-AzFileShare |
|
Groeps-id (subresource) |
file |
FileShare |
|
naam van DNS A-record |
Naam van het opslagaccount |
Hostnaamvoorvoegsel (bijvoorbeeld fs-xxxxxxxxxxxxxxxxx) |
Ga naar de resourcegroep waar u een privé-eindpunt wilt maken. Selecteer + Maken en zoek naar privé-eindpunt. Selecteer de privé-eindpuntresource en selecteer vervolgens Maken.
De wizard heeft meerdere pagina's om te voltooien.
Selecteer op de pagina Basics het abonnement, de resourcegroep, de naam, netwerkinterfacenaam en regio voor je privé-endpoint. Het privé-eindpunt moet zich in dezelfde regio bevinden als zijn virtuele netwerk. Vervolgens selecteer Volgende: Resource.
Selecteer op de pagina BronnenMicrosoft. Storage/storageAccounts in het dropdownmenu voor Resource type. Selecteer voor Resource het specifieke opslagaccount waarmee je wilt verbinden. Voor Doelsubresource, selecteert u file. Selecteer Volgende: Virtueel netwerk vervolgens.
Selecteer op de pagina BronnenMicrosoft. FileShares/fileShares vanuit het dropdownmenu voor Resource type. Selecteer voor Resource het specifieke bestandsdeel waarmee je wilt verbinden. De doelsubresource wordt automatisch ingevuld met FileShare. Selecteer Volgende: Virtueel netwerk vervolgens.
Op de pagina Virtual Network kunt u de specifieke virtual network en het subnet selecteren waaraan u uw privé-eindpunt wilt toevoegen. Selecteer dynamische of statische IP-adrestoewijzing voor het nieuwe privé-eindpunt. Als u statisch selecteert, moet u ook een naam en een privé-IP-adres opgeven. U kunt eventueel ook een toepassingsbeveiligingsgroep opgeven. Wanneer u klaar bent, selecteert u Volgende: DNS.
De DNS-pagina bevat de informatie voor het integreren van uw privé-eindpunt met een privé-DNS-zone. Controleer of het abonnement en de resourcegroep kloppen, en selecteer vervolgens Next: Tags.
U kunt eventueel tags toepassen om uw resources te categoriseren, zoals het toepassen van de naam Environment en de waarde Test op alle testresources. Voer een naam/waardepaar in en kies vervolgens Volgende: Beoordelen + aanmaken.
Selecteer Maken om het privé-eindpunt te maken.
Als u een privé-eindpunt wilt maken, moet u eerst een verwijzing naar uw opslagaccount of uw bestandsshare en het subnet van het virtuele netwerk ophalen waar u het privé-eindpunt wilt toevoegen. Vervang de tijdelijke aanduidingen in de volgende code door uw eigen waarden.
Krijg een referentie naar het opslagaccount:
$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"
$storageAccountParams = @{
ResourceGroupName = $storageAccountResourceGroupName
Name = $storageAccountName
ErrorAction = "SilentlyContinue"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams
if ($null -eq $storageAccount) {
$errorMessage = "Storage account $storageAccountName not found "
$errorMessage += "in resource group $storageAccountResourceGroupName."
Write-Error -Message $errorMessage -ErrorAction Stop
}
# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName
Krijg een referentie naar de bestandsdeling:
$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$fileShareParams = @{
ResourceGroupName = $fileShareResourceGroupName
ResourceName = $fileShareName
ErrorAction = "SilentlyContinue"
}
$fileShare = Get-AzFileShare @fileShareParams
if ($null -eq $fileShare) {
$errorMessage = "File share $fileShareName not found "
$errorMessage += "in resource group $fileShareResourceGroupName."
Write-Error -Message $errorMessage -ErrorAction Stop
}
# Extract hostName and hostNamePrefix for DNS record
$hostName = $fileShare.HostName
$hostNamePrefix = $hostName.Split('.')[0]
# Set common variables for private endpoint creation
$resourceGroupName = $fileShareResourceGroupName
$privateLinkResourceId = $fileShare.Id
$groupId = "FileShare"
$dnsRecordName = $hostNamePrefix
Haal verwijzingen op naar het virtuele netwerk en subnet:
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<vnet-subnet-name>"
# Get virtual network reference, and throw error if it doesn't exist
$virtualNetworkParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $virtualNetworkName
ErrorAction = "SilentlyContinue"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams
if ($null -eq $virtualNetwork) {
$errorMessage = "Virtual network $virtualNetworkName not found "
$errorMessage += "in resource group $virtualNetworkResourceGroupName."
Write-Error -Message $errorMessage -ErrorAction Stop
}
# Get reference to virtual network subnet, and throw error if it doesn't exist
$subnet = $virtualNetwork |
Select-Object -ExpandProperty Subnets |
Where-Object { $_.Name -eq $subnetName }
if ($null -eq $subnet) {
$errorMessage = "Subnet $subnetName not found in virtual network $virtualNetworkName."
Write-Error -Message $errorMessage -ErrorAction Stop
}
Als u een privé-eindpunt wilt maken, moet u een private link-serviceverbinding maken. De verbinding van de privé-link is een invoer voor het maken van het privé-eindpunt.
# Disable private endpoint network policies
$subnet.PrivateEndpointNetworkPolicies = "Disabled"
$virtualNetwork = $virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop
# Create a private link service connection.
$connectionParams = @{
Name = "$dnsRecordName-Connection"
PrivateLinkServiceId = $privateLinkResourceId
GroupId = $groupId
ErrorAction = "Stop"
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @connectionParams
# Create a new private endpoint.
$privateEndpointParams = @{
ResourceGroupName = $resourceGroupName
Name = "$dnsRecordName-PrivateEndpoint"
Location = $virtualNetwork.Location
Subnet = $subnet
PrivateLinkServiceConnection = $privateEndpointConnection
ErrorAction = "Stop"
}
$privateEndpoint = New-AzPrivateEndpoint @privateEndpointParams
Koppel een Azure private DNS-zone aan het virtuele netwerk zodat clients de oorspronkelijke hostnaam van de bestandsdeling kunnen omzetten naar het IP-adres van het privé-endpoint. De volgende commando's gebruiken een zone die al gekoppeld is aan het virtuele netwerk. Als er geen gekoppeld is, gebruiken ze de zone in de resourcegroep van het virtuele netwerk, of maken ze er een aan en koppelen die. Deze stappen gelden voor beide resourceproviders.
# Get the host name suffix (core.windows.net for public cloud).
# Reading it from the context lets this script work in non-public Azure clouds.
$hostNameSuffix = Get-AzContext |
Select-Object -ExpandProperty Environment |
Select-Object -ExpandProperty StorageEndpointSuffix
# For public cloud, this generates the following DNS suffix:
# privatelink.file.core.windows.net.
$dnsZoneName = "privatelink.file.$hostNameSuffix"
# Find a DNS zone matching desired name attached to this virtual network.
$dnsZone = Get-AzPrivateDnsZone |
Where-Object { $_.Name -eq $dnsZoneName } |
Where-Object {
$dnsLinkParams = @{
ResourceGroupName = $_.ResourceGroupName
ZoneName = $_.Name
ErrorAction = "SilentlyContinue"
}
$privateDnsLink = Get-AzPrivateDnsVirtualNetworkLink @dnsLinkParams
$privateDnsLink.VirtualNetworkId -eq $virtualNetwork.Id
}
if ($null -eq $dnsZone) {
# No matching DNS zone attached to virtual network, so use the zone in the
# virtual network's resource group, or create one, and link it.
$dnsZoneParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $dnsZoneName
ErrorAction = "SilentlyContinue"
}
$dnsZone = Get-AzPrivateDnsZone @dnsZoneParams
if ($null -eq $dnsZone) {
$dnsZoneParams.ErrorAction = "Stop"
$dnsZone = New-AzPrivateDnsZone @dnsZoneParams
}
$dnsLinkParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
ZoneName = $dnsZoneName
Name = "$virtualNetworkName-DnsLink"
VirtualNetworkId = $virtualNetwork.Id
ErrorAction = "Stop"
}
$privateDnsLink = New-AzPrivateDnsVirtualNetworkLink @dnsLinkParams
}
Nu u een verwijzing naar de privé-DNS-zone hebt, maakt u een A-record.
$privateEndpointIP = $privateEndpoint |
Select-Object -ExpandProperty NetworkInterfaces |
Select-Object @{
Name = "NetworkInterfaces"
Expression = { Get-AzNetworkInterface -ResourceId $_.Id }
} |
Select-Object -ExpandProperty NetworkInterfaces |
Select-Object -ExpandProperty IpConfigurations |
Select-Object -ExpandProperty PrivateIpAddress
$privateDnsRecordConfig = New-AzPrivateDnsRecordConfig -IPv4Address $privateEndpointIP
$dnsRecordParams = @{
ResourceGroupName = $dnsZone.ResourceGroupName
Name = $dnsRecordName
RecordType = "A"
ZoneName = $dnsZone.Name
Ttl = 600
PrivateDnsRecords = $privateDnsRecordConfig
ErrorAction = "Stop"
}
New-AzPrivateDnsRecordSet @dnsRecordParams | Out-Null
Als u een privé-eindpunt wilt maken, moet u eerst een verwijzing naar uw opslagaccount of bestandsshare ophalen, plus het subnet van het virtuele netwerk waaraan u het privé-eindpunt wilt toevoegen. Vervang de tijdelijke aanduidingen in de volgende stappen door uw eigen waarden.
Krijg een referentie naar het opslagaccount:
storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"
# Get storage account ID
privateLinkResourceId=$(az storage account show \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--query "id" --output tsv)
# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName
Krijg een referentie naar de bestandsdeling:
fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
--resource-group $fileShareResourceGroupName \
--name $fileShareName \
--query "id" --output tsv)
hostName=$(az fileshare show \
--resource-group $fileShareResourceGroupName \
--name $fileShareName \
--query "properties.hostName" --output tsv)
hostNamePrefix=$(echo $hostName | cut -d'.' -f1)
# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix
Na het instellen van de gemeenschappelijke variabelen zijn de resterende stappen hetzelfde voor beide resourceproviders. Haal verwijzingen op naar het virtuele netwerk en subnet:
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<vnet-subnet-name>"
virtualNetwork=$(az network vnet show \
--resource-group $virtualNetworkResourceGroupName \
--name $virtualNetworkName \
--query "id" --output tsv)
subnet=$(az network vnet subnet show \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--query "id" --output tsv)
Om een privé-endpoint te creëren, zorg je ervoor dat het private endpoint-netwerkbeleid van het subnet is uitgeschakeld, en maak je vervolgens het private endpoint aan met az network private-endpoint create.
# Disable private endpoint network policies
az network vnet subnet update \
--ids $subnet \
--private-endpoint-network-policies Disabled \
--output none
# Get virtual network location
region=$(az network vnet show \
--ids $virtualNetwork \
--query "location" --output tsv)
# Create a private endpoint
privateEndpoint=$(az network private-endpoint create \
--resource-group $resourceGroupName \
--name "$dnsRecordName-PrivateEndpoint" \
--location $region \
--subnet $subnet \
--private-connection-resource-id $privateLinkResourceId \
--group-id $groupId \
--connection-name "$dnsRecordName-Connection" \
--query "id" --output tsv)
Koppel een Azure private DNS-zone aan het virtuele netwerk zodat clients de oorspronkelijke hostnaam van de bestandsdeling kunnen omzetten naar het IP-adres van het privé-endpoint. De volgende commando's gebruiken een zone die al gekoppeld is aan het virtuele netwerk. Als er geen zone is gekoppeld, gebruiken ze de zone in de resourcegroep van het virtuele netwerk, of maken ze er een aan en koppelen die. Deze stappen gelden voor beide resourceproviders.
# Get the desired storage account suffix (core.windows.net for public cloud).
# This is done so the script will work for non-public Azure clouds.
storageAccountSuffix=$(az cloud show \
--query "suffixes.storageEndpoint" --output tsv)
# For public cloud, this generates the DNS suffix:
# privatelink.file.core.windows.net.
dnsZoneName="privatelink.file.$storageAccountSuffix"
# Find a DNS zone matching the desired name attached to this virtual network.
possibleDnsZones=$(az network private-dns zone list \
--query "[?name == '$dnsZoneName'].id" \
--output tsv)
dnsZone=""
for possibleDnsZone in $possibleDnsZones
do
possibleResourceGroupName=$(az resource show \
--ids $possibleDnsZone \
--query "resourceGroup" --output tsv)
link=$(az network private-dns link vnet list \
--resource-group $possibleResourceGroupName \
--zone-name $dnsZoneName \
--query "[?virtualNetwork.id == '$virtualNetwork'].id" \
--output tsv)
if [ -n "$link" ]
then
dnsZoneResourceGroup=$possibleResourceGroupName
dnsZone=$possibleDnsZone
break
fi
done
if [ -z "$dnsZone" ]
then
# No matching DNS zone is linked to the virtual network. Use the zone in the
# virtual network's resource group if it exists, or create a new one.
dnsZone=$(az network private-dns zone list \
--resource-group $virtualNetworkResourceGroupName \
--query "[?name == '$dnsZoneName'].id" \
--output tsv)
if [ -z "$dnsZone" ]
then
dnsZone=$(az network private-dns zone create \
--resource-group $virtualNetworkResourceGroupName \
--name $dnsZoneName \
--query "id" --output tsv)
fi
az network private-dns link vnet create \
--resource-group $virtualNetworkResourceGroupName \
--zone-name $dnsZoneName \
--name "$virtualNetworkName-DnsLink" \
--virtual-network $virtualNetwork \
--registration-enabled false \
--output none
dnsZoneResourceGroup=$virtualNetworkResourceGroupName
fi
Nu u een verwijzing naar de privé-DNS-zone hebt, maakt u een A-record.
privateEndpointNIC=$(az network private-endpoint show \
--ids $privateEndpoint \
--query "networkInterfaces[0].id" --output tsv)
privateEndpointIP=$(az network nic show \
--ids $privateEndpointNIC \
--query "ipConfigurations[0].privateIPAddress" --output tsv)
az network private-dns record-set a create \
--resource-group $dnsZoneResourceGroup \
--zone-name $dnsZoneName \
--name $dnsRecordName \
--output none
az network private-dns record-set a add-record \
--resource-group $dnsZoneResourceGroup \
--zone-name $dnsZoneName \
--record-set-name $dnsRecordName \
--ipv4-address $privateEndpointIP \
--output none
Connectiviteit verifiëren
Voer de controles uit vanaf een client in het virtuele netwerk, of vanaf een verbonden netwerk met DNS geconfigureerd om het privé-eindpunt op te lossen. Voor de verschillen tussen resource providers, zie DNS-resolutie. Gebruik de originele hostnaam om de share te mounten, niet de privatelink naam.
Voer de volgende DNS-zoekopdracht uit vanuit PowerShell, de opdrachtregel of een terminal op Windows, Linux of macOS.
Vervang <storage-account-name> door de juiste opslagaccountnaam:
nslookup <storage-account-name>.file.core.windows.net
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is (uitvoer weergegeven voor Windows).
Server: UnKnown
Address: 10.2.4.4
Non-authoritative answer:
Name: storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5
Aliases: storageaccount.file.core.windows.net
Gebruik de hostnaam van de bestandsdeling. Selecteer op de Overzichtspagina van de bestandsdeling JSON View. Onder properties, kopieer de waarde van hostName. De indeling ziet eruit als fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.net.
nslookup <file-share-host-name>
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is (uitvoer weergegeven voor Windows).
Server: UnKnown
Address: 10.2.4.4
Non-authoritative answer:
Name: <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5
Aliases: <hostNamePrefix>.<zone>.file.storage.azure.net
Om de DNS-resolutie te verifiëren, haal je de hostnaam op met Azure PowerShell en zoek je die vervolgens op bij een client in het virtuele netwerk.
$storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.File) |
Select-Object -ExpandProperty Host
$storageAccountHostName
Voer op een client in het virtuele netwerk het volgende commando uit. Vervang <host-name> door de hostnaam van de vorige stap.
Resolve-DnsName -Name "<host-name>"
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is.
Name Type TTL Section NameHost
---- ---- --- ------- --------
storageaccount.file.core.windows CNAME 60 Answer storageaccount.privatelink.file.core.windows.net
.net
Name : storageaccount.privatelink.file.core.windows.net
QueryType : A
TTL : 600
Section : Answer
IP4Address : 192.168.0.5
$fileShare.HostName
Voer op een client in het virtuele netwerk het volgende commando uit. Vervang <host-name> door de hostnaam van de vorige stap.
Resolve-DnsName -Name "<host-name>"
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is.
Name Type TTL Section NameHost
---- ---- --- ------- --------
<hostNamePrefix>.<zone>.file.storage.azur CNAME 60 Answer <hostNamePrefix>.privatelink.file.core.windows.net
e.net
Name : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType : A
TTL : 600
Section : Answer
IP4Address : 192.168.0.5
Om de DNS-resolutie te verifiëren, haal je de hostnaam op met de Azure CLI en zoek je die vervolgens op bij een client in het virtuele netwerk.
httpEndpoint=$(az storage account show \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--query "primaryEndpoints.file" --output tsv)
hostName=${httpEndpoint#https://}
hostName=${hostName%/}
echo $hostName
Voer op een client in het virtuele netwerk het volgende commando uit. Vervang <host-name> door de hostnaam van de vorige stap.
nslookup <host-name>
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is.
Server: 127.0.0.53
Address: 127.0.0.53#53
Non-authoritative answer:
storageaccount.file.core.windows.net canonical name = storageaccount.privatelink.file.core.windows.net.
Name: storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5
hostName=$(az fileshare show \
--resource-group $fileShareResourceGroupName \
--name $fileShareName \
--query "properties.hostName" --output tsv)
echo $hostName
Voer op een client in het virtuele netwerk het volgende commando uit. Vervang <host-name> door de hostnaam van de vorige stap.
nslookup <host-name>
Als dit lukt, ziet u uitvoer die lijkt op het volgende, waarbij 192.168.0.5 het privé-IP-adres van het privé-eindpunt in uw virtuele netwerk is.
Server: 127.0.0.53
Address: 127.0.0.53#53
Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name: <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5
Toegang tot openbare eindpunten beperken
Je kunt toegang via openbaar netwerk uitschakelen of deze ingeschakeld laten voor geselecteerde netwerken. Deze configuraties zijn apart. Private eindpunten blijven in beide configuraties werken.
Voor klassieke bestandsdelingen configureer je publieke toegang op het opslagaccount. Voor Microsoft.FileShares configureer dit voor de afzonderlijke bestandsshare.
Klassieke bestandsdelingen kunnen ook gebruikmaken van een netwerkbeveiligingsperimeter, onder voorbehoud van de protocolbeperkingen. In de Enforced-modus weigert een perimeter verkeer via service-endpoints die geen toegewezen IP-adres hebben. Clients moeten een privé-endpoint of een standaard service-endpoint gebruiken.
Openbare netwerktoegang uitschakelen
Wanneer je de toegang tot het publieke netwerk uitschakelt, kunnen clients geen verbinding maken via het publieke eindpunt, ook niet via service-eindpunten. Clients kunnen nog steeds verbinding maken via privé-endpoints. Deze instelling beperkt het uitgaande verkeer van de clients niet.
Notitie
Voor klassieke bestandsdelingen blijven bestaande uitzonderingen voor vertrouwde diensten en resource-instanties van kracht nadat je de toegang tot het publieke netwerk hebt uitgeschakeld. Bekijk deze uitzonderingen als je toegang alleen via private endpoints nodig hebt. Zie Uitzonderingen voor Azure-services.
Om publieke netwerktoegang voor klassieke bestandsdelingen uit te schakelen, volgt u deze stappen:
- Ga naar het opslagaccount waar je alle inkomende toegang tot het publieke eindpunt wilt beperken.
- Selecteer in het servicemenu onder Security + netwerkenNetwerken.
- Onder Openbare netwerktoegang, selecteer Beheren.
- Selecteer Uitschakelen en vervolgens Doorgaan.
- Kies Opslaan.
Ga naar de bestandsshare waar u openbare toegang wilt uitschakelen. Selecteer Netwerken in het servicemenu onder Instellingen. Voor toegang tot publieke endpoints selecteer je Uitgeschakeld en selecteer je vervolgens Opslaan.
Voor klassieke bestandsdelingen stel je -PublicNetworkAccess in op Disabled op het opslagaccount.
# Use the storage account variables from the beginning of this article.
$publicNetworkAccessParams = @{
ResourceGroupName = $storageAccountResourceGroupName
Name = $storageAccountName
PublicNetworkAccess = "Disabled"
ErrorAction = "Stop"
}
Set-AzStorageAccount @publicNetworkAccessParams | Out-Null
Stel -PublicNetworkAccess in op Disabled op de bestandsshare.
$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$publicNetworkAccessParams = @{
ResourceGroupName = $fileShareResourceGroupName
ResourceName = $fileShareName
PublicNetworkAccess = "Disabled"
}
Update-AzFileShare @publicNetworkAccessParams
Voor klassieke bestandsdelingen stel je --public-network-access in op Disabled op het opslagaccount.
# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this article.
az storage account update \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--public-network-access Disabled \
--output none
Stel --public-network-access in op Disabled op de bestandsshare.
fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
az fileshare update \
--name $fileShareName \
--resource-group $fileShareResourceGroupName \
--public-network-access Disabled
Beperk de toegang tot het publieke eindpunt tot specifieke netwerken
Om clients van geselecteerde subnetten toe te laten, houd je publieke netwerktoegang ingeschakeld, schakel service-eindpunten op die subnetten in en voeg je de subnetten toe aan de netwerkregels van de resource. Je kunt service-endpoints gebruiken met of zonder private endpoints. Subnetten kunnen in andere regio's, abonnementen en Microsoft Entra-tenants zijn. Om een subnet van een andere tenant toe te voegen, gebruik PowerShell of de Azure CLI. Voor overwegingen, zie Virtuele netwerkregels.
Voor SMB- en FileREST-toegang kun je ook IP-adresregels toevoegen. IP-adresregels verlenen geen NFS-toegang. Voor NFS-toegang gebruik je een virtuele netwerkregel. Als het opslagaccount zich in een netwerkbeveiligingsperimeter bevindt, kun je in plaats daarvan een standaard service-endpoint gebruiken.
De PowerShell- en CLI-voorbeelden gaan ervan uit dat publieke netwerktoegang al is ingeschakeld. De Microsoft. FileShares-voorbeelden gaan er ook van uit dat het clientsubnet al het Microsoft.Storage service-endpoint heeft. Om dat eindpunt te configureren, zie Service-eindpunten inschakelen op een subnet.
Voor klassieke bestandsdelingen volg deze stappen om het publieke eindpunt te beperken tot specifieke netwerken.
- Ga naar het opslagaccount waar je het publieke eindpunt wilt beperken tot specifieke netwerken.
- Selecteer in het servicemenu onder Security + netwerkenNetwerken.
- Onder Openbare netwerktoegang, selecteer Beheren.
- Selecteer onder bereik van openbare netwerktoegangIngeschakeld vanaf geselecteerde netwerken en selecteer vervolgens Opslaan.
- Selecteer onder Resource-instellingen: Virtuele netwerken, IP-adressen en uitzonderingen, selecteer Beheren.
- Selecteer onder Virtuele NetwerkenVirtueel netwerk> toevoegenBestaand virtueel netwerk toevoegen. Selecteer het virtuele netwerk en de subnetten. Als een subnet het
Microsoft.Storage service-eindpunt niet heeft, selecteer dan Enable en wacht tot de bewerking is voltooid. Selecteer vervolgens Toevoegen.
- Voor SMB- of FileREST-toegang voert u onder IPv4-adressen de publieke IP-adressen of bereiken in die u wilt toestaan. IP-adresregels verlenen geen NFS-toegang.
- Als een service-integratie vertrouwde service-toegang vereist, kies onder Uitzonderingen, Toestaan dat vertrouwde Microsoft-services deze bron mogen benaderen.
- Kies Opslaan.
Voor Microsoft. FileShares, volg deze stappen om het publieke eindpunt te beperken tot specifieke netwerken.
- Ga naar de bestandsshare waar u openbare toegang wilt beperken.
- Selecteer Netwerken in het servicemenu onder Instellingen.
- Zorg ervoor dat Toegang tot openbare eindpunten op Ingeschakeld staat.
- Selecteer onder Openbare endpointbeperkingenEen virtueel netwerk toevoegen. Selecteer het virtuele netwerk en de subnetten. Als een subnet het
Microsoft.Storage service-eindpunt niet heeft, selecteer dan Enable en wacht tot de bewerking is voltooid. Selecteer vervolgens Toevoegen.
- Kies Opslaan.
Voor klassieke bestandsshares beperkt u de toegang tot het openbare eindpunt van het opslagaccount tot specifieke virtuele netwerken met behulp van service-eindpunten. Verzamel eerst informatie over het opslagaccount en het virtuele netwerk. Vervang de tijdelijke aanduidingen in de volgende stappen door uw eigen waarden.
$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"
$storageAccountParams = @{
ResourceGroupName = $storageAccountResourceGroupName
Name = $storageAccountName
ErrorAction = "Stop"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams
$virtualNetworkParams = @{
ResourceGroupName = $restrictToVirtualNetworkResourceGroupName
Name = $restrictToVirtualNetworkName
ErrorAction = "Stop"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams
$subnet = $virtualNetwork |
Select-Object -ExpandProperty Subnets |
Where-Object { $_.Name -eq $subnetName }
if ($null -eq $subnet) {
$errorMessage = "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName."
Write-Error -Message $errorMessage -ErrorAction Stop
}
Als u verkeer van het virtuele netwerk wilt toestaan, moet de Azure netwerkinfrastructuur het Microsoft.Storage service-eindpunt beschikbaar maken voor het subnet van het virtuele netwerk. Met de volgende PowerShell-opdrachten voegt u het Microsoft.Storage-service-eindpunt toe aan het subnet als dit nog niet is gebeurd.
$serviceEndpoints = $subnet |
Select-Object -ExpandProperty ServiceEndpoints |
Select-Object -ExpandProperty Service
if ($serviceEndpoints -notcontains "Microsoft.Storage") {
# Change the subnet object directly so the subnet keeps its delegations
# and service endpoint policies.
$storageEndpointParams = @{
TypeName = "Microsoft.Azure.Commands.Network.Models.PSServiceEndpoint"
Property = @{ Service = "Microsoft.Storage" }
}
$storageEndpoint = New-Object @storageEndpointParams
$subnet.ServiceEndpoints = @($subnet.ServiceEndpoints | Where-Object { $_ }) + $storageEndpoint
$virtualNetwork = $virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop
}
De laatste stap bij het beperken van verkeer tot het opslagaccount is het aanmaken van een virtuele netwerkregel en deze toevoegen aan de netwerkregelset van het opslagaccount.
$networkRuleParams = @{
VirtualNetworkResourceId = $subnet.Id
ErrorAction = "Stop"
}
$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule @networkRuleParams
$networkRuleSetParams = @{
DefaultAction = "Deny"
VirtualNetworkRule = $networkRule
WarningAction = "SilentlyContinue"
ErrorAction = "Stop"
}
$storageAccount | Update-AzStorageAccountNetworkRuleSet @networkRuleSetParams | Out-Null
Deze commando's behouden bestaande bypass-instellingen. Als een integratie toegang tot vertrouwde diensten vereist, voeg -Bypass AzureServices dan toe aan het update-commando. De parameter vervangt de bypass-instelling, dus neem eventuele andere bypass-opties op die je workload nog nodig heeft.
Voor SMB- of FileREST-toegang vanaf het internet kun je ook publieke IP-adressen of -bereiken toestaan. IP-adresregels zijn niet van toepassing op clients in dezelfde Azure-regio als het opslagaccount. Voor andere beperkingen, zie IP-adresregels.
$ipAddressOrRange = "<public-ip-address-or-cidr-range>"
$ipRuleParams = @{
ResourceGroupName = $storageAccountResourceGroupName
Name = $storageAccountName
IPAddressOrRange = $ipAddressOrRange
ErrorAction = "Stop"
}
Add-AzStorageAccountNetworkRule @ipRuleParams | Out-Null
Geef de toegestane subnetresource-ID's door aan Update-AzFileShare door te gebruiken -AllowedSubnet. Netwerkregels gelden direct voor de bestandsdeling, dus er is geen opslagaccount om in te stellen. Het clientsubnet moet al het service-Microsoft.Storageeindpunt hebben.
$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"
$virtualNetworkParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $virtualNetworkName
}
$subnet = Get-AzVirtualNetwork @virtualNetworkParams |
Select-Object -ExpandProperty Subnets |
Where-Object { $_.Name -eq $subnetName }
$allowedSubnetParams = @{
ResourceGroupName = $fileShareResourceGroupName
ResourceName = $fileShareName
AllowedSubnet = @($subnet.Id)
}
Update-AzFileShare @allowedSubnetParams
Voor klassieke bestandsshares beperkt u de toegang tot het openbare eindpunt van het opslagaccount tot specifieke virtuele netwerken met behulp van service-eindpunten. Verzamel eerst informatie over het opslagaccount en het virtuele netwerk. Vervang de tijdelijke aanduidingen in de volgende stappen door uw eigen waarden.
storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"
storageAccount=$(az storage account show \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--query "id" --output tsv)
virtualNetwork=$(az network vnet show \
--resource-group $restrictToVirtualNetworkResourceGroupName \
--name $restrictToVirtualNetworkName \
--query "id" --output tsv)
subnet=$(az network vnet subnet show \
--resource-group $restrictToVirtualNetworkResourceGroupName \
--vnet-name $restrictToVirtualNetworkName \
--name $subnetName \
--query "id" --output tsv)
Als u verkeer van het virtuele netwerk wilt toestaan, moet de Azure netwerkinfrastructuur het Microsoft.Storage service-eindpunt beschikbaar maken voor het subnet van het virtuele netwerk. Met de volgende CLI-opdrachten voegt u het Microsoft.Storage-service-eindpunt toe aan het subnet als dit nog niet is gebeurd.
serviceEndpoints=$(az network vnet subnet show \
--resource-group $restrictToVirtualNetworkResourceGroupName \
--vnet-name $restrictToVirtualNetworkName \
--name $subnetName \
--query "serviceEndpoints[].service" \
--output tsv)
foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
if [ $serviceEndpoint = "Microsoft.Storage" ]
then
foundStorageServiceEndpoint=true
fi
done
if [ $foundStorageServiceEndpoint = false ]
then
serviceEndpointList=""
for serviceEndpoint in $serviceEndpoints
do
serviceEndpointList+=$serviceEndpoint
serviceEndpointList+=" "
done
serviceEndpointList+="Microsoft.Storage"
az network vnet subnet update \
--ids $subnet \
--service-endpoints $serviceEndpointList \
--output none
fi
De laatste stap bij het beperken van verkeer tot het opslagaccount is het aanmaken van een virtuele netwerkregel en deze toevoegen aan de netwerkregelset van het opslagaccount.
az storage account network-rule add \
--resource-group $storageAccountResourceGroupName \
--account-name $storageAccountName \
--subnet $subnet \
--output none
az storage account update \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--default-action "Deny" \
--output none
Deze commando's behouden bestaande bypass-instellingen. Als een integratie toegang tot vertrouwde diensten vereist, voeg --bypass AzureServices dan toe aan het update-commando. De optie vervangt de bypass-instelling, dus voeg alle andere bypass-opties toe die je workload nog nodig heeft.
Voor SMB- of FileREST-toegang vanaf het internet kun je ook publieke IP-adressen of -bereiken toestaan. IP-adresregels zijn niet van toepassing op clients in dezelfde Azure-regio als het opslagaccount. Voor andere beperkingen, zie IP-adresregels.
ipAddressOrRange="<public-ip-address-or-cidr-range>"
az storage account network-rule add \
--resource-group $storageAccountResourceGroupName \
--account-name $storageAccountName \
--ip-address $ipAddressOrRange \
--output none
Geef de toegestane subnetresource-ID's door aan az fileshare update door te gebruiken --allowed-subnets. Netwerkregels gelden direct voor de bestandsdeling, dus er is geen opslagaccount om in te stellen. Het clientsubnet moet al het Microsoft.Storage service-eindpunt hebben.
fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"
subnetId=$(az network vnet subnet show \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--query "id" --output tsv)
az fileshare update \
--name $fileShareName \
--resource-group $fileShareResourceGroupName \
--allowed-subnets $subnetId
Toegang toestaan via een standaard service-eindpunt
Door gebruik te maken van een standaard service-endpoint kunnen clients in een subnet via een service-endpoint een opslagaccount bereiken binnen een netwerkbeveiligingsperimeter. Eén inbound access-regel in het perimeterprofiel staat elk subnet toe dat het IP-adres van het service-endpoint gebruikt. De regel geldt voor SMB, NFS en FileREST.
De volgende stappen creëren een openbaar IP-adres, wijzen dit toe aan het Microsoft.Storage service-eindpunt van het subnet en voegen een inbound access-regel voor het adres toe aan het perimeterprofiel.
Houd rekening met deze punten:
- Het opslagaccount moet gekoppeld zijn aan een netwerkbeveiligingsperimeter. Om een perimeter te creëren en het opslagaccount te koppelen, zie Quickstart: Create a network security perimeter - Azure portal.
- Het subnet moet het
Microsoft.Storage service-eindpunt al hebben. Om het toe te voegen, zie Toegang tot het publieke eindpunt beperken tot specifieke netwerken.
- Het publieke IP-adres moet de Standard SKU, statische allocatie en IPv4 gebruiken. Het moet in dezelfde regio zijn als het virtuele netwerk.
- Je kunt hetzelfde IP-adres toewijzen aan andere subnetten en virtuele netwerken in dezelfde regio, inclusief virtuele netwerken in andere abonnementen binnen dezelfde Microsoft Entra-tenant.
- Alle service-eindpunten op een subnet moeten hetzelfde IP-adres gebruiken.
- Het toewijzen of wijzigen van het IP-adres reset actieve verbindingen vanuit het subnet. Plan de wijziging in voor een onderhoudsperiode.
- Om een openbaar IP-adres toe te wijzen aan een service-endpoint, heb je de
Microsoft.Network/publicIPAddresses/joinServiceEndpointNetworkIdentifier/action toestemming nodig. De rol van Netwerkbijdrager omvat deze toestemming.
- Virtuele netwerkregels die het subnet toegang verlenen, blijven van toepassing totdat de perimeterassociatie in Enforced-modus is.
- Je kunt het IP-adres ook toevoegen aan de IP-adresregels van het opslagaccount in plaats van een perimeterregel. Zonder perimeter biedt een standaardservice-eindpunt met een virtuele netwerkregel dezelfde toegang zonder extra kosten.
Om toegang te krijgen vanaf een standaard service-endpoint, volgt u deze stappen. Voor meer informatie, zie Configureer een standaard service-endpoint met behulp van het Azure-portaal.
- Voer in het zoekvak bovenaan het Azure-portaal publieke IP-adressen in. Selecteer Openbare IP-adressen in de zoekresultaten.
- Selecteer + Creëren.
- Selecteer op het tabblad Basis het abonnement, de resourcegroep en de regio van je virtuele netwerk. Voer een naam in. Voor IP-versie, selecteer IPv4. Voor SKU, selecteer Standaard.
- Selecteer Beoordelen en maken en selecteer vervolgens Maken.
- Nadat de implementatie is voltooid, gaat u naar het nieuwe publieke IP-adres. Kopieer de waarde van het IP-adres.
- Ga naar het virtuele netwerk dat het clientsubnet bevat. Selecteer in het servicemenu onder InstellingenSubnetten. Selecteer het subnet.
- Selecteer onder Service Endpoints voor Abonnement op netwerk-id het abonnement van het openbare IP-adres. Selecteer voor Netwerk-id het publieke IP-adres dat je hebt aangemaakt.
- In de Dienstenlijst, voor Microsoft.Storage, selecteer Netwerkidentificatie inschakelen. Kies Opslaan.
- Ga naar de netwerkbeveiligingsperimeter waar het opslagaccount aan gekoppeld is. Selecteer in het servicemenu onder InstellingenProfielen. Selecteer het profiel waaraan het opslagaccount is gekoppeld.
- Selecteer in het servicemenu onder Instellingende regels voor inkomende toegang. Kies Toevoegen.
- Voer voor Regelnaam een naam in. Selecteer voor Source type de optie IP-adresbereiken. Voor toegestane bronnen voer je het IP-adres in dat je hebt gekopieerd, gevolgd door
/32. Kies Toevoegen.
De volgende PowerShell-commando's creëren een openbaar IP-adres, wijzen dit toe aan het Microsoft.Storage service-eindpunt van het subnet en voegen een inbound access-regel voor het adres toe aan het perimeterprofiel. Vervang de tijdelijke aanduidingen door uw eigen waarden.
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"
$publicIpName = "<public-ip-name>"
$perimeterResourceGroupName = "<perimeter-resource-group-name>"
$perimeterName = "<perimeter-name>"
$profileName = "<profile-name>"
$accessRuleName = "<access-rule-name>"
$virtualNetworkParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $virtualNetworkName
ErrorAction = "Stop"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams
$subnet = $virtualNetwork.Subnets | Where-Object { $_.Name -eq $subnetName }
if ($null -eq $subnet) {
throw "Subnet '$subnetName' wasn't found in virtual network '$virtualNetworkName'."
}
$storageEndpoint = $subnet.ServiceEndpoints | Where-Object { $_.Service -eq "Microsoft.Storage" }
if ($null -eq $storageEndpoint) {
throw "The subnet doesn't have the Microsoft.Storage service endpoint. Add it before you continue."
}
$publicIpParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $publicIpName
Location = $virtualNetwork.Location
Sku = "Standard"
AllocationMethod = "Static"
IpAddressVersion = "IPv4"
ErrorAction = "Stop"
}
$publicIp = New-AzPublicIpAddress @publicIpParams
$networkIdentifierParams = @{
TypeName = "Microsoft.Azure.Commands.Network.Models.PSResourceId"
Property = @{ Id = $publicIp.Id }
}
$storageEndpoint.NetworkIdentifier = New-Object @networkIdentifierParams
$virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop | Out-Null
$accessRuleParams = @{
ResourceGroupName = $perimeterResourceGroupName
SecurityPerimeterName = $perimeterName
ProfileName = $profileName
Name = $accessRuleName
Direction = "Inbound"
AddressPrefix = @("$($publicIp.IpAddress)/32")
ErrorAction = "Stop"
}
New-AzNetworkSecurityPerimeterAccessRule @accessRuleParams | Out-Null
De volgende CLI-commando's creëren een openbaar IP-adres, wijzen dit toe aan het Microsoft.Storage service-eindpunt van het subnet en voegen een inkomende toegangsregel voor het adres toe aan het perimeterprofiel. Vervang de tijdelijke aanduidingen door uw eigen waarden. De commando's az network perimeter hebben de nsp extensie nodig voor Azure CLI. Voer az extension add --name nsp uit om het te installeren.
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"
publicIpName="<public-ip-name>"
perimeterResourceGroupName="<perimeter-resource-group-name>"
perimeterName="<perimeter-name>"
profileName="<profile-name>"
accessRuleName="<access-rule-name>"
storageEndpointIndex=$(az network vnet subnet show \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--query "serviceEndpoints[].service" \
--output tsv | \
grep --line-number --line-regexp --fixed-strings "Microsoft.Storage" | \
cut -d ":" -f 1)
if [ -z "$storageEndpointIndex" ]; then
echo "The subnet doesn't have the Microsoft.Storage service endpoint. Add it before you continue." >&2
else
location=$(az network vnet show \
--resource-group $virtualNetworkResourceGroupName \
--name $virtualNetworkName \
--query "location" \
--output tsv) &&
az network public-ip create \
--resource-group $virtualNetworkResourceGroupName \
--name $publicIpName \
--location $location \
--sku Standard \
--allocation-method Static \
--version IPv4 \
--output none &&
publicIpId=$(az network public-ip show \
--resource-group $virtualNetworkResourceGroupName \
--name $publicIpName \
--query "id" \
--output tsv) &&
publicIpAddress=$(az network public-ip show \
--resource-group $virtualNetworkResourceGroupName \
--name $publicIpName \
--query "ipAddress" \
--output tsv) &&
az network vnet subnet update \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--set "serviceEndpoints[$((storageEndpointIndex - 1))].networkIdentifier={\"id\":\"$publicIpId\"}" \
--output none &&
az network perimeter profile access-rule create \
--resource-group $perimeterResourceGroupName \
--perimeter-name $perimeterName \
--profile-name $profileName \
--access-rule-name $accessRuleName \
--direction Inbound \
--address-prefixes "$publicIpAddress/32" \
--output none
fi
Microsoft. FileShares ondersteunt geen netwerkbeveiligingsperimeters. Clients in een subnet met een standaard service-endpoint kunnen nog steeds toegang krijgen tot een Microsoft. FileShares bestandsdeling als het subnet zich in de toegestane subnetten van de bestandsdeling bevindt. Voor stappen, zie Toegang tot het publieke eindpunt beperken tot specifieke netwerken.
Beperk uitgaande toegang tot specifieke opslagaccounts
Netwerkregels voor een bestandsdeling beheren de binnenkomende toegang. Ze beperken niet welke andere opslagbronnen clients kunnen openen. Voor klassieke bestandsdelingen kun je een service-endpointbeleid gebruiken om te beperken welke opslagaccounts clients in een subnet via service-endpoints kunnen benaderen. Het beleid filtert bestemmingen voor verkeer dat Azure Firewall en netwerkvirtuele appliances omzeilt. Het beperkt andere uitgaande paden niet en vervangt ook niet de netwerkregels voor de bestemming en de autorisatievereisten. Voor meer informatie, zie Uitgaande toegang beperken met service-endpointbeleid.
Important
Service-endpointbeleid ondersteunt geen Microsoft.FileShares-bestandsshares. Een beleid op het clientsubnet blokkeert de toegang tot die bestandsdelingen via service-endpoints, zelfs als het het abonnement of de resourcegroep ervan toestaat. Deze beperking geldt ook voor subnetten die toegang hebben tot zowel klassieke als Microsoft.FileShares-bestandsshares. Clients in dat subnet moeten een private endpoint gebruiken om toegang te krijgen tot Microsoft.FileShares-bestandsshares.
Een service-endpointbeleid definieert de toegestane opslagbestemmingen voor clients in het bijbehorende subnet. Het verhindert dat die clients via service-endpoints toegang krijgen tot andere opslagaccounts. Houd rekening met deze punten:
- Voeg elk opslagaccount toe dat clients in het subnet gebruiken voordat je het beleid aan het subnet koppelt. Deze lijst bevat opslagaccounts die andere workloads in het subnet gebruiken.
- Het service-endpointbeleid moet zich in dezelfde regio en in hetzelfde abonnement bevinden als het virtuele netwerk.
- Een policy kan slechts één policydefinitie voor de
Microsoft.Storage-service bevatten. Om meer opslagaccounts toe te staan, voeg hun resource ID's toe aan dezelfde beleidsdefinitie. Je kunt ook alle opslagaccounts toestaan in een resourcegroep of abonnement.
- Nadat je een beleid aan een subnet hebt gekoppeld, geldt het beleid voor verkeer naar opslagaccounts in alle regio's.
- Deze stappen gaan ervan uit dat het subnet geen service-endpointbeleid heeft. Als beleidsregels al gekoppeld zijn, bekijk en werk die dan bij in plaats van hun associaties te vervangen. De PowerShell- en CLI-voorbeelden stoppen als ze bestaande associaties vinden.
Om een service-endpointbeleid te maken en dit aan een subnet te koppelen, volg je deze stappen. Zie Service-eindpuntbeleid maken en koppelen voor gedetailleerde stappen.
- In het zoekvak bovenaan het Azure-portaal voer je Service endpoint policy in. Selecteer service-eindpuntbeleid in de zoekresultaten.
- Selecteer + Creëren.
- Selecteer op het tabblad Basisbeginselen het abonnement en de regio van je virtuele netwerk. Selecteer een resourcegroep en voer een naam in voor de beleidsregel.
- Klik op Volgende: Beleidsdefinities.
- Selecteer + Een resource toevoegen. Voor Service, selecteer Microsoft.Storage. Voor Scope selecteer Eén account en selecteer dan het opslagaccount dat de bestandsshares bevat. Kies Toevoegen. Herhaal deze stap voor elk opslagaccount dat clients in het subnet gebruiken.
- Selecteer Reviewen + Maken en selecteer vervolgens Maken.
- Ga naar het nieuwe service-endpointbeleid. Selecteer in het servicemenu onder InstellingenBijbehorende subnetten.
- Selecteer Subnetassociatie Bewerken, selecteer het virtuele netwerk en subnet, en selecteer vervolgens Toepassen.
De volgende PowerShell-commando's creëren een service-endpointbeleid en koppelen dit aan een subnet. Het beleid beperkt de clienttoegang van dat subnet tot één opslagaccount via het service-eindpunt. Het subnet moet het Microsoft.Storage service-eindpunt al hebben. Vervang de tijdelijke aanduidingen door uw eigen waarden.
$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"
$policyName = "<service-endpoint-policy-name>"
$storageAccountParams = @{
ResourceGroupName = $storageAccountResourceGroupName
Name = $storageAccountName
ErrorAction = "Stop"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams
$virtualNetworkParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $virtualNetworkName
ErrorAction = "Stop"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams
$subnet = $virtualNetwork.Subnets | Where-Object { $_.Name -eq $subnetName }
if ($null -eq $subnet) {
throw "Subnet '$subnetName' wasn't found in virtual network '$virtualNetworkName'."
}
if ($subnet.ServiceEndpointPolicies.Count -gt 0) {
throw "The subnet already has service endpoint policies. Review and update them before changing the configuration."
}
# To allow clients to access more storage accounts, add their resource IDs to ServiceResource.
$policyDefinitionParams = @{
Name = "allowed-storage-accounts"
Service = "Microsoft.Storage"
ServiceResource = @($storageAccount.Id)
ErrorAction = "Stop"
}
$policyDefinition = New-AzServiceEndpointPolicyDefinition @policyDefinitionParams
$policyParams = @{
ResourceGroupName = $virtualNetworkResourceGroupName
Name = $policyName
Location = $virtualNetwork.Location
ServiceEndpointPolicyDefinition = $policyDefinition
ErrorAction = "Stop"
}
$policy = New-AzServiceEndpointPolicy @policyParams
$subnet.ServiceEndpointPolicies = @($policy)
$virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop | Out-Null
De volgende CLI-commando's creëren een service-endpointbeleid en koppelen dit aan een subnet. Het beleid beperkt de clienttoegang van dat subnet tot één opslagaccount via het service-eindpunt. Het subnet moet het Microsoft.Storage service-eindpunt al hebben. Vervang de tijdelijke aanduidingen door uw eigen waarden.
storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"
policyName="<service-endpoint-policy-name>"
existingPolicyIds=$(az network vnet subnet show \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--query "serviceEndpointPolicies[].id" --output tsv)
if [ -n "$existingPolicyIds" ]; then
echo "The subnet already has service endpoint policies. Review and update them before changing the configuration." >&2
else
storageAccountId=$(az storage account show \
--resource-group $storageAccountResourceGroupName \
--name $storageAccountName \
--query "id" --output tsv) &&
location=$(az network vnet show \
--resource-group $virtualNetworkResourceGroupName \
--name $virtualNetworkName \
--query "location" --output tsv) &&
az network service-endpoint policy create \
--resource-group $virtualNetworkResourceGroupName \
--name $policyName \
--location $location \
--output none &&
# To allow clients to access more storage accounts, add their resource IDs to --service-resources.
az network service-endpoint policy-definition create \
--resource-group $virtualNetworkResourceGroupName \
--policy-name $policyName \
--name "allowed-storage-accounts" \
--service "Microsoft.Storage" \
--service-resources $storageAccountId \
--output none &&
az network vnet subnet update \
--resource-group $virtualNetworkResourceGroupName \
--vnet-name $virtualNetworkName \
--name $subnetName \
--service-endpoint-policy $policyName \
--output none
fi
Om toegang te krijgen tot een Microsoft.FileShares-bestandsdeling vanaf een subnet met een service-endpointbeleid, maak een privé-endpoint aan voor de bestandsdeling. Service-endpointbeleid geldt niet voor verkeer dat via een privé-endpoint gaat.
Routingvoorkeur bepaalt hoe verkeer van clients buiten Azure het publieke eindpunt bereikt. Het is alleen beschikbaar voor klassieke HDD-bestandsdelingen die het pay-as-you-go factureringsmodel gebruiken in StorageV2 opslagaccounts. Zie Public endpoint network routing voor concepten.
Important
Gebruik geen internetroutering voor Azure Files. Internetroutering ondersteunt geen Active Directory (AD) domeinjoinscenario's of Azure File Sync. Houd de standaardroutering van Microsoft.
Om de routingvoorkeur te controleren en deze in te stellen op Microsoft routing, volg je deze stappen.
- Ga naar het opslagaccount.
- Selecteer in het servicemenu onder Security + netwerkenNetwerken.
- Selecteer het tabblad Netwerkroutering.
- Zorg er onder Routing-voorkeur voor dat Microsoft Network Routing is geselecteerd.
- Als je de instelling hebt veranderd, selecteer dan Opslaan.
Om de routingvoorkeur in te stellen op Microsoft routing, voer je het volgende commando uit. Vervang de tijdelijke aanduidingen door uw eigen waarden.
$params = @{
ResourceGroupName = "<resource-group>"
Name = "<storage-account-name>"
RoutingChoice = "MicrosoftRouting"
}
Set-AzStorageAccount @params
Om de routingvoorkeur in te stellen op Microsoft routing, voer je het volgende commando uit. Vervang de tijdelijke aanduidingen door uw eigen waarden.
az storage account update \
--resource-group <resource-group> \
--name <storage-account-name> \
--routing-choice MicrosoftRouting
Microsoft. FileShares ondersteunt geen routeringsvoorkeur.
Verwante onderwerpen
