Konfigurowanie punktów końcowych sieci na potrzeby uzyskiwania dostępu do udziałów plików platformy Azure

Na stronie Zasób wybierz z menu rozwijanego dla Typ zasobu pozycję Microsoft.Storage/storageAccounts. W przypadku Resource'u wybierz konkretne konto pamięci, do którego chcesz się połączyć. W obszarze Docelowy zasób podrzędny wybierz file. Następnie wybierz pozycję Dalej: Sieć wirtualna.

Na stronie Zasoby wybierz Microsoft. FileShares/fileShares z rozwijanego menu dla typu zasobu. W przypadku Reresource wybierz konkretny plik, do którego chcesz się połączyć. Docelowy zasób podrzędny jest automatycznie wypełniany przy użyciu polecenia FileShare. Następnie wybierz pozycję Dalej: Sieć wirtualna.

Uzyskaj odniesienie do konta magazynowego:

$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"

$storageAccount = Get-AzStorageAccount `
                -ResourceGroupName $storageAccountResourceGroupName `
                -Name $storageAccountName `
                -ErrorAction SilentlyContinue

if ($null -eq $storageAccount) {
        $errorMessage = "Storage account $storageAccountName not found "
        $errorMessage += "in resource group $storageAccountResourceGroupName."
        Write-Error -Message $errorMessage -ErrorAction Stop
}

# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName

Uzyskaj odniesienie do udostępnionego pliku:

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

$fileShare = Get-AzFileShare `
                -ResourceGroupName $fileShareResourceGroupName `
                -ResourceName $fileShareName `
                -ErrorAction SilentlyContinue

if ($null -eq $fileShare) {
        $errorMessage = "File share $fileShareName not found "
        $errorMessage += "in resource group $fileShareResourceGroupName."
        Write-Error -Message $errorMessage -ErrorAction Stop
}

# Extract hostName and hostNamePrefix for DNS record
$hostName = $fileShare.HostName
$hostNamePrefix = $hostName.Split('.')[0]

# Set common variables for private endpoint creation
$resourceGroupName = $fileShareResourceGroupName
$privateLinkResourceId = $fileShare.Id
$groupId = "FileShare"
$dnsRecordName = $hostNamePrefix

Uzyskaj odniesienie do konta magazynowego:

storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"

# Get storage account ID
privateLinkResourceId=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName

Uzyskaj odniesienie do udostępnionego pliku:

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "id" --output tsv)

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

hostNamePrefix=$(echo $hostName | cut -d'.' -f1)

# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix

Zastąp <storage-account-name> odpowiednią nazwą konta magazynu:

nslookup <storage-account-name>.file.core.windows.net

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej (dane wyjściowe wyświetlane dla Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Użyj nazwy hosta udostępnionej plików. Na karcie Przegląd udziału plików wybierz w prawym górnym rogu opcję Widok JSON. W widoku JSON w obszarze właściwości skopiuj wartość parametru hostName. Format wygląda następująco: fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.net.

nslookup <file-share-host-name>

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej (dane wyjściowe wyświetlane dla Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    <hostNamePrefix>.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  <hostNamePrefix>.<zone>.file.storage.azure.net

$storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.file) | `
        Select-Object -ExpandProperty Host

Resolve-DnsName -Name $storageAccountHostName

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Name                             Type   TTL   Section    NameHost
----                             ----   ---   -------    --------
storageaccount.file.core.windows CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
.net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

Resolve-DnsName -Name $fileShare.HostName

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Name                                       Type   TTL   Section    NameHost
----                                       ----   ---   -------    --------
<hostNamePrefix>.<zone>.file.storage.azur  CNAME  60    Answer     <hostNamePrefix>.privatelink.file.core.windows.net
e.net

Name       : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

httpEndpoint=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "primaryEndpoints.file" --output tsv)

hostName=$(echo $httpEndpoint | cut -c7-$(expr length $httpEndpoint) | tr -d "/")
nslookup $hostName

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej. Powinieneś nadal używać oryginalnej nazwy hosta (storageaccount.file.core.windows.net) do zamontowania swojego pliku zamiast ścieżki privatelink .

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
storageaccount.file.core.windows.net      canonical name = storageaccount.privatelink.file.core.windows.net.
Name:   storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

nslookup $hostName

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej. Nadal należy używać oryginalnej wartości hostName udziału plików do zainstalowania udziału plików zamiast ścieżki privatelink.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net      canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name:   <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5

Aby wyłączyć dostęp do sieci publicznej dla klasycznych udostępnień plików, postępuj zgodnie z następującymi krokami:

1. Przejdź do konta pamięci, gdzie chcesz ograniczyć wszelki dostęp do publicznego punktu końcowego.
2. W menu usług, w sekcji Bezpieczeństwo + sieciowanie, wybierz Sieciowanie.
3. W obszarze Dostęp do sieci publicznej wybierz pozycję Zarządzaj.
4. Wybierz Wyłącz, a następnie Wybierz Dalej.
5. Wybierz opcję Zapisz.

Przejdź do udziału sieciowego, w którym chcesz wyłączyć dostęp publiczny. W menu usługi w obszarze Ustawienia wybierz pozycję Konfiguracja. Ustaw pozycję Dostęp do sieci publicznej na Wyłączone, a następnie wybierz pozycję Zapisz.

W przypadku klasycznych udziałów plików następujące polecenie programu PowerShell blokuje cały ruch do publicznego punktu końcowego konta magazynu. Ustaw parametr -Bypass na AzureServices, aby zezwolić zaufanym usługom własnym, takim jak Azure File Sync, na dostęp do konta magazynu za pośrednictwem publicznego punktu końcowego.

# This assumes $storageAccount is still defined from the beginning of this guide.
$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Ustaw -PublicNetworkAccess na Disabled w udziale plików.

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -PublicNetworkAccess Disabled

W przypadku klasycznych udziałów plików następujące polecenie CLI blokuje cały ruch do publicznego punktu końcowego konta magazynowego. Ustaw parametr --bypass na AzureServices, aby zezwolić zaufanym usługom własnym, takim jak Azure File Sync, na dostęp do konta magazynu za pośrednictwem publicznego punktu końcowego.

# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this guide.
az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --bypass "AzureServices" \
    --default-action "Deny" \
    --output none

Ustaw --public-network-access na Disabled w udziale plików.

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --public-network-access Disabled

W przypadku klasycznych udostępnień plików postępuj zgodnie z tymi krokami, aby ograniczyć publiczny punkt końcowy do konkretnych sieci.

1. Przejdź do konta pamięci, gdzie chcesz ograniczyć publiczny punkt końcowy do konkretnych sieci.
2. W menu usług, w sekcji Bezpieczeństwo + sieciowanie, wybierz Sieciowanie.
3. W obszarze Zakres dostępu do sieci publicznej wybierz pozycję Włącz z wybranych sieci. Ten wybór umożliwia wyświetlenie szeregu ustawień kontroli ograniczeń publicznego punktu końcowego.
4. W sekcji Sieci wirtualne wybierz Dodaj sieć> wirtualnąDodaj istniejącą sieć wirtualną, aby wybrać sieć wirtualną, która powinna mieć dostęp do konta pamięci przez publiczny punkt końcowy. Wybierz sieć wirtualną i podsieć dla tej sieci wirtualnej, a następnie wybierz pozycję Włącz. Jeśli chcesz utworzyć nową sieć wirtualną w tym celu, wybierz Dodaj sieć> wirtualną,Dodaj nową sieć wirtualną, podaj szczegóły, a następnie wybierz Utwórz.
5. W sekcji Adresy IPv4 określ dowolne publiczne adresy IP internetu, do których chcesz mieć dostęp do konta pamięci.
6. Zaznacz pole wyboru Zezwalaj zaufanym usługom firmy Microsoft na dostęp do tego zasobu, aby umożliwić zaufanym usługom własnym firmy Microsoft, takim jak Azure File Sync, dostęp do konta magazynu.
7. Wybierz opcję Zapisz.

Przejdź do udziału plików, w którym chcesz ograniczyć dostęp publiczny. Z menu usługi w obszarze Ustawienia wybierz pozycję Konfiguracja. W obszarze Dostęp do sieci publicznej wybierz pozycję Włączone dla wybranych sieci wirtualnych, dodaj sieci wirtualne i podsieci, którym zezwolono na dostęp do udziału, a następnie wybierz pozycję Zapisz.

W przypadku klasycznych udziałów plików ogranicz dostęp do publicznego punktu końcowego konta magazynu danych do określonych sieci wirtualnych przy użyciu punktów końcowych usługi. Najpierw zbierz informacje o koncie magazynu danych i sieci wirtualnej. Zastąp wartości symboli zastępczych w poniższych krokach własnymi wartościami.

$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$storageAccount = Get-AzStorageAccount `
        -ResourceGroupName $storageAccountResourceGroupName `
        -Name $storageAccountName `
        -ErrorAction Stop

$virtualNetwork = Get-AzVirtualNetwork `
        -ResourceGroupName $restrictToVirtualNetworkResourceGroupName `
        -Name $restrictToVirtualNetworkName `
        -ErrorAction Stop

$subnet = $virtualNetwork | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

if ($null -eq $subnet) {
    Write-Error `
            -Message "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName." `
            -ErrorAction Stop
}

Aby zezwolić na ruch z sieci wirtualnej, infrastruktura sieciowa platformy Azure musi udostępnić punkt końcowy usługi Microsoft.Storage w podsieci tej sieci wirtualnej. Następujące polecenia programu PowerShell dodają punkt końcowy usługi Microsoft.Storage do podsieci, jeśli jeszcze nie istnieje.

$serviceEndpoints = $subnet | `
    Select-Object -ExpandProperty ServiceEndpoints | `
    Select-Object -ExpandProperty Service

if ($serviceEndpoints -notcontains "Microsoft.Storage") {
    if ($null -eq $serviceEndpoints) {
        $serviceEndpoints = @("Microsoft.Storage")
    } elseif ($serviceEndpoints -is [string]) {
        $serviceEndpoints = @($serviceEndpoints, "Microsoft.Storage")
    } else {
        $serviceEndpoints += "Microsoft.Storage"
    }

    $virtualNetwork = $virtualNetwork | Set-AzVirtualNetworkSubnetConfig `
            -Name $subnetName `
            -AddressPrefix $subnet.AddressPrefix `
            -ServiceEndpoint $serviceEndpoints `
            -WarningAction SilentlyContinue `
            -ErrorAction Stop | `
        Set-AzVirtualNetwork `
            -ErrorAction Stop
}

Ostatnim krokiem ograniczania ruchu do konta magazynu jest utworzenie reguły sieciowej i dodanie jej do zestawu reguł sieciowych konta magazynu.

$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule `
    -VirtualNetworkResourceId $subnet.Id `
    -ErrorAction Stop

$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -VirtualNetworkRule $networkRule `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Przekaż identyfikatory zasobów dozwolonych podsieci bezpośrednio do Update-AzFileShare, przy użyciu -AllowedSubnet. Nie ma potrzeby konfigurowania oddzielnego punktu końcowego usługi ani reguł sieciowych na koncie magazynu danych.

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$subnet = Get-AzVirtualNetwork `
        -ResourceGroupName $virtualNetworkResourceGroupName `
        -Name $virtualNetworkName | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -AllowedSubnet @($subnet.Id)

W przypadku klasycznych udziałów plików ogranicz dostęp do publicznego punktu końcowego konta magazynu danych do określonych sieci wirtualnych przy użyciu punktów końcowych usługi. Najpierw zbierz informacje o koncie magazynu danych i sieci wirtualnej. Zastąp wartości symboli zastępczych w poniższych krokach własnymi wartościami.

storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

storageAccount=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

virtualNetwork=$(az network vnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --name $restrictToVirtualNetworkName \
        --query "id" --output tsv)

subnet=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

Aby zezwolić na ruch z sieci wirtualnej, infrastruktura sieciowa platformy Azure musi udostępnić punkt końcowy usługi Microsoft.Storage w podsieci tej sieci wirtualnej. Poniższe polecenia CLI dodają punkt końcowy usługi Microsoft.Storage do podsieci, jeśli jeszcze go tam nie ma.

serviceEndpoints=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "serviceEndpoints[].service" \
        --output tsv)

foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
    if [ $serviceEndpoint = "Microsoft.Storage" ]
    then
        foundStorageServiceEndpoint=true
    fi
done

if [ $foundStorageServiceEndpoint = false ]
then
    serviceEndpointList=""

    for serviceEndpoint in $serviceEndpoints
    do
        serviceEndpointList+=$serviceEndpoint
        serviceEndpointList+=" "
    done

    serviceEndpointList+="Microsoft.Storage"

    az network vnet subnet update \
            --ids $subnet \
            --service-endpoints $serviceEndpointList \
            --output none
fi

Ostatnim krokiem ograniczania ruchu do konta magazynu jest utworzenie reguły sieciowej i dodanie jej do zestawu reguł sieciowych konta magazynu.

az storage account network-rule add \
        --resource-group $storageAccountResourceGroupName \
        --account-name $storageAccountName \
        --subnet $subnet \
        --output none

az storage account update \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --bypass "AzureServices" \
        --default-action "Deny" \
        --output none

Przekaż identyfikatory zasobów dozwolonych podsieci bezpośrednio do az fileshare update, używając --allowed-subnets. Nie ma potrzeby konfigurowania oddzielnego punktu końcowego usługi ani reguł sieciowych na koncie magazynu danych.

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

subnetId=$(az network vnet subnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --vnet-name $virtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

az fileshare update \
        --name $fileShareName \
        --resource-group $fileShareResourceGroupName \
        --allowed-subnets $subnetId