Zabezpieczenia sieci dla przestrzeni nazw usługi Azure Event Grid

W tym artykule opisano sposób używania następujących funkcji zabezpieczeń w usłudze Azure Event Grid:

• Tagi serwisowe dla ruchu wychodzącego
• Reguły zapory adresów IP
• Prywatne punkty końcowe

Tagi usługi

Tag usługi reprezentuje grupę prefiksów adresów IP z danej usługi platformy Azure. Firma Microsoft zarządza prefiksami adresów uwzględnionych przez tag usługi i automatycznie aktualizuje tag usługi w miarę zmiany adresów, minimalizując złożoność częstych aktualizacji reguł zabezpieczeń sieci. Aby uzyskać więcej informacji na temat tagów usług, zobacz Omówienie tagów usługi.

Tagi usług umożliwiają definiowanie mechanizmów kontroli dostępu do sieci w sieciowych grupach zabezpieczeń lub zaporze platformy Azure. Podczas tworzenia reguł zabezpieczeń można użyć tagów usługi zamiast konkretnych adresów IP. Określając nazwę tagu usługi (na przykład usługę Azure Event Grid) w odpowiednich polach źródłowych lub docelowych reguły, możesz zezwolić na ruch dla odpowiedniej usługi lub go zablokować.

Zapora bazująca na adresach IP

Domyślnie przestrzenie nazw i jednostki usługi Event Grid są dostępne z Internetu, o ile żądanie jest dostarczane z prawidłowym uwierzytelnianiem (kluczem dostępu) i autoryzacją. Zapora IP umożliwia dalsze ograniczenie go tylko do zestawu adresów IPv4 lub zakresów adresów IPv4 w notacji CIDR (routing międzydomenowy bezklasowy). Klienci pochodzący z dowolnego innego adresu IP są odrzucani i otrzymują odpowiedź 403 (Zabronione).

W scenariuszach wykorzystania protokołu Message Queueing Telemetry Transport (MQTT) tylko klienci należący do dozwolonego zakresu adresów IP mogą łączyć się, aby publikować i subskrybować zdarzenia. Aby uzyskać więcej informacji, zobacz Configure IP firewall for Event Grid namespaces in MQTT scenarios (Konfigurowanie zapory ip dla przestrzeni nazw usługi Event Grid w scenariuszach MQTT).

W przypadku scenariuszy innych niż MQTT tylko klienci, którzy należą do dozwolonego zakresu adresów IP, mogą połączyć się z usługą Azure Event Grid w celu publikowania lub pobierania zdarzeń. Aby uzyskać więcej informacji, zobacz Configure IP firewall for Event Grid namespaces in non-MQTT scenarios (Konfigurowanie zapory ip dla przestrzeni nazw usługi Event Grid w scenariuszach innych niż MQTT).

Kroki są takie same w obu scenariuszach. Te artykuły zawierają dodatkowe informacje specyficzne dla scenariuszy MQTT lub innych niż MQTT.

Prywatne punkty końcowe

Prywatny punkt końcowy to specjalny interfejs sieciowy dla usługi Azure w sieci wirtualnej. Podczas tworzenia prywatnego punktu końcowego dla namespace'u zapewnia on bezpieczną łączność między klientami w VNet i namespace'em usługi Event Grid. Prywatny punkt końcowy ma przypisany adres IP z zakresu adresów IP sieci wirtualnej. Połączenie między prywatnym punktem końcowym a usługą Event Grid używa bezpiecznego łącza prywatnego. Używanie prywatnych punktów końcowych dla przestrzeni nazw usługi Event Grid umożliwia:

• Zabezpiecz dostęp do przestrzeni nazw z wirtualnej sieci za pośrednictwem sieci szkieletowej firmy Microsoft zamiast publicznego Internetu.
• Połącz się bezpiecznie z lokalnymi sieciami, które łączą się z siecią wirtualną, korzystając z sieci VPN lub ExpressRoute z prywatnym peeringiem.

Po utworzeniu prywatnego punktu końcowego dla przestrzeni nazw w sieci wirtualnej do właściciela zasobu zostanie wysłane żądanie zgody. Jeśli użytkownik żądający utworzenia prywatnego punktu końcowego jest również właścicielem zasobu, to żądanie zgody zostanie automatycznie zatwierdzone. W przeciwnym razie połączenie jest w stanie oczekiwania do momentu zatwierdzenia. Aplikacje w sieci wirtualnej mogą bezproblemowo łączyć się z usługą Event Grid za pośrednictwem prywatnego punktu końcowego, korzystając z tych samych parametry połączenia i mechanizmów autoryzacji, których będą używać w przeciwnym razie. Właściciele zasobów mogą zarządzać żądaniami zgody i prywatnymi punktami końcowymi za pośrednictwem karty Prywatne punkty końcowe dla zasobu w witrynie Azure Portal.

Gdy klient MQTT w sieci prywatnej łączy się z brokerem MQTT za pośrednictwem łącza prywatnego, klient może publikować i subskrybować komunikaty MQTT. Aby uzyskać więcej informacji, zobacz Konfigurowanie prywatnych punktów końcowych dla przestrzeni nazw w scenariuszach MQTT.

W scenariuszach innych niż MQTT klient w sieci prywatnej może łączyć się z przestrzenią nazw usługi Event Grid i publikować lub pobierać zdarzenia. Aby uzyskać więcej informacji, zobacz Konfigurowanie prywatnych punktów końcowych dla przestrzeni nazw w scenariuszach innych niż MQTT.

Nawiązywanie połączenia z prywatnymi punktami końcowymi

Za pomocą prywatnych punktów końcowych można bezpiecznie pozwolić na przepływ zdarzeń przychodzących bezpośrednio z sieci wirtualnej do jednostek w obszarach nazw usługi Event Grid za pośrednictwem łącza prywatnego bez przechodzenia przez publiczny Internet. Prywatny punkt końcowy używa adresu IP z przestrzeni adresowej sieci wirtualnej dla namespace.

Klienci w sieci wirtualnej korzystającej z prywatnego punktu końcowego powinni używać tych samych parametrów połączenia dla przestrzeni nazw, co klienci łączący się z publicznym punktem końcowym. Rozpoznawanie nazw domen (DNS) automatycznie kieruje połączenia z sieci wirtualnej do przestrzeni nazw za pośrednictwem łącza prywatnego. Usługa Event Grid domyślnie tworzy prywatną strefę DNS dołączoną do sieci wirtualnej z wymaganą aktualizacją prywatnych punktów końcowych. Jeśli jednak używasz własnego serwera DNS, może być konieczne wprowadzenie dodatkowych zmian w konfiguracji DNS.

Gdy klient MQTT w sieci prywatnej łączy się z brokerem MQTT za pośrednictwem łącza prywatnego, klient może publikować i subskrybować komunikaty MQTT.

Zmiany DNS dla prywatnych punktów końcowych

Podczas tworzenia prywatnego punktu końcowego rekord CNAME systemu DNS dla zasobu jest aktualizowany do aliasu w poddomenie z prefiksem privatelink. Domyślnie tworzona jest prywatna strefa DNS odpowiadająca poddomenie łącza prywatnego.

Po rozpoznaniu adresu URL punktu końcowego przestrzeni nazw spoza sieci wirtualnej za pomocą prywatnego punktu końcowego jest rozpoznawany jako publiczny punkt końcowy usługi. Rekordy zasobów DNS dla "przestrzeń nazwA", po rozpoznaniu z poza sieci wirtualnej hostującej prywatny punkt końcowy, są następujące:

Dostęp klienta spoza sieci wirtualnej można blokować lub kontrolować za pośrednictwem publicznego punktu końcowego przy użyciu zapory IP.

Po rozpoznaniu z sieci wirtualnej obsługującej prywatny punkt końcowy, adres URL punktu końcowego przestrzeni nazw zostaje przetłumaczony na adres IP prywatnego punktu końcowego. Rekordy zasobów DNS dla przestrzeni nazw "namespaceA", po rozpoznaniu wewnątrz sieci wirtualnej hostującej prywatny punkt końcowy, są następujące:

Takie podejście umożliwia dostęp do przestrzeni nazw przy użyciu tego samego ciągu połączenia dla klientów znajdujących się w sieci wirtualnej hostującej prywatne punkty końcowe oraz klientów znajdujących się poza siecią wirtualną.

Jeśli używasz niestandardowego serwera DNS w swojej sieci, klienci mogą rozwiązać pełną nazwę domeny (FQDN) dla punktu końcowego przestrzeni nazw do prywatnego adresu IP punktu końcowego. Skonfiguruj serwer DNS, aby delegować poddomenę łącza prywatnego do prywatnej strefy DNS dla sieci wirtualnej lub skonfigurować rekordy A dla namespaceName.regionName.privatelink.eventgrid.azure.net z prywatnym adresem IP punktu końcowego.

Zalecana nazwa strefy DNS to privatelink.eventgrid.azure.net.

Prywatne punkty końcowe i publikowanie

W poniższej tabeli opisano różne stany połączenia prywatnego punktu końcowego i wpływ na publikowanie:

Aby publikowanie zakończyło się pomyślnie, należy zatwierdzić stan połączenia prywatnego punktu końcowego. Jeśli połączenie zostanie odrzucone, nie można go zatwierdzić przy użyciu witryny Azure Portal. Jedyną możliwością jest usunięcie połączenia i utworzenie nowego.

Przydziały i limity

Istnieje limit liczby reguł zapory IP i połączeń prywatnych punktów końcowych na przestrzeń nazw. Zobacz Limity i przydziały usługi Event Grid.

Powiązane artykuły

Jeśli używasz MQTT, zapoznaj się z następującymi artykułami:

• Konfigurowanie zapory adresów IP dla przestrzeni nazw Event Grid w scenariuszach MQTT
• Konfigurowanie prywatnych punktów końcowych dla przestrzeni nazw Event Grid w kontekście scenariuszy MQTT

Aby uzyskać informacje o dostarczaniu zdarzeń w modelu zapytań (pull-based), zobacz następujące artykuły:

• Konfigurowanie zapory adresów IP dla przestrzeni nazw usługi Event Grid w scenariuszach innych niż MQTT
• Konfigurowanie prywatnych punktów końcowych dla przestrzeni nazw usługi Event Grid w scenariuszach innych niż MQTT