Uw Azure Stream Analytics taak uitvoeren in een Azure virtueel netwerk

Meer informatie over het uitvoeren van uw Azure Stream Analytics -taak (ASA) in een Azure virtueel netwerk voor netwerkisolatie en beveiligde toegang tot resources.

Overzicht van ondersteuning voor virtuele netwerken

Met ondersteuning voor virtuele netwerken kunt u de toegang tot Azure Stream Analytics tot uw virtuele netwerkinfrastructuur vergrendelen. Integratie van virtuele netwerken biedt de voordelen van netwerkisolatie en kan worden bereikt door een containerinstantie van uw ASA-taak binnen uw virtuele netwerk te implementeren. Uw in het virtuele netwerk geïnjecteerde ASA-taak kan vervolgens privé toegang krijgen tot uw resources in het virtuele netwerk via:

• Privé-eindpunten, waarmee uw virtuele netwerk een ASA-taak verbindt met uw gegevensbronnen via privékoppelingen, mogelijk gemaakt door Azure Private Link.
• Service-eindpunten, die uw gegevensbronnen verbinden met uw virtuele netwerk geïnjecteerde ASA-taak.
• Servicetags, waarmee verkeer naar Azure Stream Analytics wordt toegestaan of geweigerd.

Beschikbare regio's

Integratie van virtuele netwerken wordt momenteel ondersteund in de volgende regio's:

VS - oost, VS - oost 2, VS - west 2, VS - centraal, VS - noord-centraal, Canada - centraal, Europa - west, Europa - noord, Azië - zuidoost, Brazilië - zuid, Japan - oost, VK - zuid, India - centraal, Australië - oost, Frankrijk - centraal, Duitsland - west-centraal en UAE - noord.

Als uw regio niet wordt weergegeven en u geïnteresseerd bent in het gebruik van deze mogelijkheid, vult u dit formulier in.

Aanvragen worden geëvalueerd op basis van vraag en haalbaarheid. U ontvangt een melding als de regio kan worden ondersteund.

Vereiste voorwaarden

• Een opslagaccount voor algemeen gebruik V2 (GPV2) is vereist voor ASA-taken met injectie in een virtueel netwerk.

  • ASA-taken die in een virtueel netwerk zijn geïnjecteerd, vereisen toegang tot metagegevens, zoals controlepunten, zodat deze voor operationele doeleinden in Azure-tabellen kunnen worden opgeslagen.

  • Als u al een GPV2-account hebt ingericht met uw ASA-taak, zijn er geen extra stappen vereist.

  • Gebruikers met grootschaligere taken met Premium-opslag moeten nog steeds een GPV2-opslagaccount opgeven.

  • Als u opslagaccounts wilt beveiligen tegen openbare IP-toegang, kunt u overwegen deze te configureren met beheerde identiteit en vertrouwde services.

    Zie het overzicht van opslagaccounts en Een opslagaccount maken voor meer informatie over opslagaccounts.

• Een Azure virtueel netwerk. U kunt een bestaand virtueel netwerk gebruiken of een nieuw netwerk maken.

• Een operationele Azure NAT Gateway.

  Belangrijk

  In het virtuele ASA-netwerk geïnjecteerde taken wordt gebruikgemaakt van een interne technologie voor containerinjectie die wordt geleverd door Azure-netwerken.

  Als u de beveiliging en betrouwbaarheid van uw Azure Stream Analytics taken wilt verbeteren, moet u het volgende doen:

  • Een NAT-gateway configureren: deze configuratie zorgt ervoor dat al het uitgaande verkeer van uw virtuele netwerk wordt gerouteerd via een beveiligd en consistent openbaar IP-adres.

  • Standaard uitgaande toegang uitschakelen: Met deze instelling voorkomt u onbedoeld uitgaand verkeer van uw virtuele netwerk, waardoor de beveiliging van uw netwerk wordt verbeterd.

  Azure NAT Gateway is een volledig beheerde en zeer tolerante NAT-service (Network Address Translation). Wanneer deze is geconfigureerd op een subnet, gebruikt alle uitgaande connectiviteit de statische openbare IP-adressen van de NAT-gateway.

  Zie Azure NAT Gateway voor meer informatie over Azure NAT Gateway.

• Zorg ervoor dat u bij het configureren van Azure IoT Hub met privé-eindpunten ook een privé-eindpunt en bijbehorende DNS-instellingen configureert voor het ingebouwde Event Hubs-compatibele eindpunt. IoT Hub dit eindpunt gebruikt om berichten te routeren en zonder de juiste DNS-omzetting, kunnen services zoals Azure Stream Analytics geen verbinding maken.

• Zie de volgende bronnen voor hulp bij het instellen van privé-eindpunten en DNS voor IoT Hub en Event Hubs:

  • IoT Hub-ondersteuning voor virtuele netwerken met Azure Private Link
  • Azure Event Hubs integreren met Azure Private Link Service
  • DNS-configuratie voor privé-eindpunt in Azure

Overwegingen voor subnetten

Integratie van virtuele netwerken is afhankelijk van een toegewezen subnet.

Houd bij het configureren van uw gedelegeerde subnet rekening met het IP-bereik om te voldoen aan zowel huidige als toekomstige vereisten voor uw ASA-workload. Omdat de grootte van het subnet niet kan worden gewijzigd na het maken, selecteert u een subnetgrootte die de potentiële schaal van uw taak kan ondersteunen. Azure Netwerken reserveert de eerste vijf IP-adressen binnen het subnetbereik voor intern gebruik.

De schaalbewerking is van invloed op de werkelijke, beschikbare ondersteunde exemplaren voor een bepaalde subnetgrootte.

Overwegingen voor het schatten van IP-bereiken:

• Zorg ervoor dat het subnetbereik niet in conflict komt met het subnetbereik van ASA. Vermijd IP-bereik 10.0.0.0 tot 10.0.255.255 omdat het wordt gebruikt door ASA.
• Reserveren:
  • Vijf IP-adressen voor Azure-netwerken
  • Eén IP-adres is vereist om functies zoals voorbeeldgegevens, testverbinding en metagegevensdetectie te vergemakkelijken voor taken die zijn gekoppeld aan dit subnet.
  • Twee IP-adressen zijn vereist voor elke zes streaming-eenheden (SU) of één SU V2. Zie Azure Stream Analytics prijzen voor meer informatie over het V2-prijsmodel.

Gedrag van subnetdelegering en release:

• Wanneer u integratie van virtuele netwerken inschakelt voor een ASA-taak (Azure Stream Analytics), wordt het opgegeven subnet automatisch gedelegeerd aan de ASA-service.

• ASA trekt de delegatie van het subnet automatisch in in een van de volgende gevallen:

  • U schakelt de integratie van virtuele netwerken uit voor de laatste ASA-taak met behulp van dat subnet via Azure Portal.
  • U verwijdert de laatste ASA-taak die aan het subnet is gekoppeld.

Subnet moet Intra-Subnet verkeer toestaan:

• De subnetconfiguratie moet netwerkverkeer tussen subnetten inschakelen.
• Dit betekent dat binnenkomend en uitgaand verkeer moet worden toegestaan waarbij zowel de bron- als de doel-IP-adressen zich in hetzelfde subnet bevinden. Zie Intra-subnetverkeer voor meer informatie.

Integratie van virtueel netwerk instellen

Azure Portal

1. Selecteer Netwerken in de Azure-portal, op de pagina van uw Stream Analytics-taak, onder Instellingen in het linkermenu.

2. Selecteer Deze taak uitvoeren in het virtuele netwerk, configureer de instellingen zoals hierom wordt gevraagd en selecteer Opslaan.

   

Integratie van virtuele netwerken instellen in Visual Studio Code

1. Verwijs in Visual Studio Code naar het subnet binnen uw ASA-taak. Met deze stap wordt aan uw taak aangegeven dat deze moet werken met een subnet.

2. Stel in de JobConfig.json uw VirtualNetworkConfiguration in zoals in de volgende afbeelding wordt weergegeven.

   

Een gekoppeld opslagaccount instellen

1. Selecteer op de pagina van uw Stream Analytics-taak onder Instellingen in het menu Links de optie Opslagaccountinstellingen.

2. Selecteer Op de pagina Opslagaccountinstellingen de optie Opslagaccount toevoegen.

3. Volg de instructies voor het configureren van de instellingen van uw opslagaccount.

   

Machtigingen

U moet ten minste de volgende machtigingen voor op rollen gebaseerd toegangsbeheer hebben voor het subnet of op een hoger niveau om de integratie van virtuele netwerken te configureren via Azure Portal, CLI of wanneer u de eigenschap virtualNetworkSubnetId-site rechtstreeks instelt:

Als het virtuele netwerk zich in een ander abonnement bevindt dan uw ASA-taak, moet u ervoor zorgen dat het abonnement met het virtuele netwerk is geregistreerd voor de Microsoft.StreamAnalytics resourceprovider. U kunt de provider expliciet registreren door de stappen in Resourceprovider registreren te volgen, maar deze wordt automatisch geregistreerd wanneer u de taak binnen een abonnement maakt.

Beperkingen voor integratie van virtuele netwerken

• Voor virtuele netwerktaken is minimaal één SU V2 (nieuw prijsmodel) of zes SU's (huidig) vereist
• Zorg ervoor dat het subnetbereik niet conflicteert met het ASA-subnetbereik (gebruik dus geen subnetbereik 10.0.0.0/16).
• ASA-taken en het virtuele netwerk moeten zich in dezelfde regio bevinden.
• Het gedelegeerde subnet kan alleen worden gebruikt door Azure Stream Analytics.
• U kunt een virtueel netwerk niet verwijderen wanneer het is geïntegreerd met ASA. U moet de laatste taak* loskoppelen of verwijderen in het gedelegeerde subnet.
• Dns-vernieuwingen (Domain Name System) worden momenteel niet ondersteund. Als DE DNS-configuraties van uw virtuele netwerk veranderen, moet u alle ASA-taken in dat virtuele netwerk opnieuw implementeren (subnetten moeten ook worden ontkoppeld van alle taken en opnieuw geconfigureerd). Zie Naamomzetting voor resources in Azure virtuele netwerken voor meer informatie.

Toegang tot on-premises bronnen

Er is geen extra configuratie vereist zodat met de functie voor integratie met virtuele netwerken via uw virtuele netwerk lokale resources kunnen worden bereikt. U hoeft alleen uw virtuele netwerk te verbinden met on-premises resources met behulp van ExpressRoute of een site-naar-site-VPN.

Prijsdetails

Afgezien van de basisvereisten die in dit document worden vermeld, zijn er voor integratie met een virtueel netwerk geen extra kosten boven op de kosten voor Azure Stream Analytics.

Problemen met integratie van virtuele netwerken oplossen

Als u problemen ondervindt bij het openen van het gewenste eindpunt, neemt u contact op met Microsoft Ondersteuning.