Obwód zabezpieczeń sieci dla Azure Service Bus

Usługa Azure Service Bus obsługuje integrację z obwodem zabezpieczeń sieci.

Obwód zabezpieczeń sieci pomaga chronić ruch sieciowy między usługą Azure Service Bus i innymi ofertami typu "platforma jako usługa" (PaaS), takimi jak Azure Key Vault. Ograniczając komunikację wyłącznie do zasobów platformy Azure w jego granicach, granica bezpieczeństwa sieciowego blokuje nieautoryzowane próby uzyskania dostępu do innych zasobów.

Mając na uwadze perymetr bezpieczeństwa sieci:

  • Zasoby PaaS skojarzone z określonym obwodem mogą domyślnie komunikować się z innymi zasobami PaaS w obrębie tego samego obwodu.
  • Możesz aktywnie zezwalać na zewnętrzną komunikację przychodzącą i wychodzącą, ustawiając jawne reguły dostępu.
  • Dzienniki diagnostyczne są włączone dla zasobów PaaS w obrębie obwodu na potrzeby inspekcji i zgodności.

Integrowanie usługi Service Bus w ramach tej platformy zwiększa możliwości obsługi komunikatów przy jednoczesnym zapewnieniu niezawodnych środków bezpieczeństwa. Ta integracja zwiększa skalowalność i niezawodność platformy. Wzmacnia również strategie ochrony danych w celu ograniczenia ryzyka związanego z nieautoryzowanym dostępem lub naruszeniami danych.

Dzięki działaniu jako usługa w ramach Azure Private Link, perymetr bezpieczeństwa sieci ułatwia bezpieczną komunikację dla usług PaaS wdrożonych poza siecią wirtualną. Umożliwia bezproblemową interakcję między usługami PaaS w obrębie obwodu i ułatwia komunikację z zasobami zewnętrznymi za pomocą starannie skonfigurowanych reguł dostępu. Obsługuje również zasoby wychodzące, takie jak usługa Azure Key Vault dla kluczy zarządzanych przez klienta (CMKs). Ta obsługa dodatkowo zwiększa wszechstronność i użyteczność w różnych środowiskach chmury.

Scenariusze dotyczące obwodów zabezpieczeń sieci w usłudze Service Bus

Usługa Azure Service Bus obsługuje scenariusze wymagające dostępu do innych zasobów PaaS. CMKs wymagają komunikacji z Azure Key Vault. Aby uzyskać więcej informacji, zobacz Konfigurowanie kluczy zarządzanych przez klienta do szyfrowania danych Azure Service Bus w spoczynku.

W przypadku starszego odzyskiwania po awarii geograficznej (parowania opartego na aliasach) zarówno podstawowe, jak i pomocnicze przestrzenie nazw muszą być skojarzone z tym samym obwodem zabezpieczeń sieci. Jeśli tylko element podstawowy jest skojarzony, parowanie kończy się niepowodzeniem.

Reguły obwodu zabezpieczeń sieci nie zarządzają ruchem łącza prywatnego za pośrednictwem prywatnych punktów końcowych.

Tworzenie obwodu zabezpieczeń sieci

Utwórz własny zasób obwodowy zabezpieczeń sieci przy użyciu witryny Azure Portal, programu Azure PowerShell lub interfejsu wiersza polecenia platformy Azure.

Kojarzenie Service Bus z obwodem zabezpieczeń sieci w portalu Azure

Przestrzeń nazw usługi Service Bus można skojarzyć z obwodem zabezpieczeń sieci bezpośrednio z przestrzeni nazw usługi Service Bus w witrynie Azure Portal:

  1. Na stronie przestrzeni nazw usługi Service Bus w sekcji Ustawienia wybierz Sieć.

  2. Wybierz kartę Dostęp publiczny .

  3. W sekcji Obwód zabezpieczeń sieci wybierz pozycję Skojarz.

  4. W oknie dialogowym Wybieranie obwodu zabezpieczeń sieci wyszukaj i wybierz obwód zabezpieczeń sieci, który chcesz skojarzyć z przestrzenią nazw.

  5. Wybierz profil, który ma być skojarzony z przestrzenią nazw.

  6. Wybierz pozycję Skojarz , aby ukończyć skojarzenie.

Weryfikowanie skojarzenia przy użyciu interfejsu wiersza polecenia platformy Azure

Aby sprawdzić, czy przestrzeń nazw jest skojarzona z obwodem zabezpieczeń sieci:

az servicebus namespace network-rule-set show \
  --name <namespace-name> \
  --resource-group <resource-group>

Gdy skojarzenie istnieje, publicNetworkAccess pole zawiera wartość SecuredByPerimeter.

Rozwiązywanie problemów

Dostępność funkcji

Niektóre możliwości obwodów zabezpieczeń sieci wymagają zarejestrowania flag funkcji w ramach subskrypcji. Jeśli wystąpi błąd "Ta funkcja nie jest dostępna dla danej subskrypcji" podczas konfigurowania reguł dostępu lub łączy obwodowych, lub jeśli przestrzeń nazw nie jest wyświetlana na liście zasobów z możliwością powiązania podczas konfigurowania obwodu zabezpieczeń sieci, zarejestruj wymaganą flagę funkcji i ponownie zarejestruj dostawcę sieci.

Zdolność Przełącznik funkcji Polecenie rejestracji
Skojarzenie zasobów NSP AllowNetworkSecurityPerimeter az feature register --namespace Microsoft.Network --name AllowNetworkSecurityPerimeter
Łącza między perymetrami AllowNspLink az feature register --namespace Microsoft.Network --name AllowNspLink
Reguły ruchu przychodzącego tagu usługi EnableServiceTagsInNsp az feature register --namespace Microsoft.Network --name EnableServiceTagsInNsp

Po rejestracji przepropaguj zmianę:

az provider register -n Microsoft.Network

Propagacja flagi funkcjonalności może potrwać do 15 minut.

Skojarzenie przestrzeni nazw z obwodem zabezpieczeń sieci

Podczas tworzenia starszej pary odzyskiwania po awarii geograficznej podstawowe i pomocnicze przestrzenie nazw muszą być skojarzone z tym samym obwodem zabezpieczeń sieci. Jeśli wystąpi błąd "DisasterRecoveryConfigSecondaryMustHaveAssociationsUnderSameNSP", skojarz pomocniczą przestrzeń nazw z tym samym obwodem, a następnie ponów próbę parowania.

Treści powiązane

  • Ostatnia aktualizacja o