Skonfiguruj punkty końcowe sieci dla udziałów plików platformy Azure

Na stronie Zasób wybierz z menu rozwijanego dla Typ zasobu pozycję Microsoft.Storage/storageAccounts. W przypadku Resource'u wybierz konkretne konto pamięci, do którego chcesz się połączyć. W obszarze Docelowy zasób podrzędny wybierz file. Następnie wybierz pozycję Dalej: Sieć wirtualna.

Na stronie Zasoby wybierz Microsoft. FileShares/fileShares z rozwijanego menu dla typu zasobu. W przypadku Reresource wybierz konkretny plik, do którego chcesz się połączyć. Docelowy zasób podrzędny jest automatycznie wypełniany przy użyciu polecenia FileShare. Następnie wybierz pozycję Dalej: Sieć wirtualna.

Uzyskaj odniesienie do konta magazynowego:

$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"

$storageAccountParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    ErrorAction = "SilentlyContinue"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

if ($null -eq $storageAccount) {
    $errorMessage = "Storage account $storageAccountName not found "
    $errorMessage += "in resource group $storageAccountResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName

Uzyskaj odniesienie do udostępnionego pliku:

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

$fileShareParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    ErrorAction = "SilentlyContinue"
}
$fileShare = Get-AzFileShare @fileShareParams

if ($null -eq $fileShare) {
    $errorMessage = "File share $fileShareName not found "
    $errorMessage += "in resource group $fileShareResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Extract hostName and hostNamePrefix for DNS record
$hostName = $fileShare.HostName
$hostNamePrefix = $hostName.Split('.')[0]

# Set common variables for private endpoint creation
$resourceGroupName = $fileShareResourceGroupName
$privateLinkResourceId = $fileShare.Id
$groupId = "FileShare"
$dnsRecordName = $hostNamePrefix

Uzyskaj odniesienie do konta magazynowego:

storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"

# Get storage account ID
privateLinkResourceId=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "id" --output tsv)

# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName

Uzyskaj odniesienie do udostępnionego pliku:

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "id" --output tsv)

hostName=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "properties.hostName" --output tsv)

hostNamePrefix=$(echo $hostName | cut -d'.' -f1)

# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix

Zastąp <storage-account-name> odpowiednią nazwą konta magazynu:

nslookup <storage-account-name>.file.core.windows.net

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej (dane wyjściowe wyświetlane dla Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Użyj nazwy hosta udostępnionej plików. Na stronie Przegląd udziału plików wybierz Widok JSON. Pod properties skopiuj wartość hostName. Format wygląda następująco: fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.net.

nslookup <file-share-host-name>

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej (dane wyjściowe wyświetlane dla Windows).

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    <hostNamePrefix>.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  <hostNamePrefix>.<zone>.file.storage.azure.net

$storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.File) |
    Select-Object -ExpandProperty Host

$storageAccountHostName

Na kliencie w sieci wirtualnej wykonaj następujące polecenie. Zastąp <host-name> nazwą hosta z poprzedniego kroku.

Resolve-DnsName -Name "<host-name>"

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Name                             Type   TTL   Section    NameHost
----                             ----   ---   -------    --------
storageaccount.file.core.windows CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
.net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

$fileShare.HostName

Na kliencie w sieci wirtualnej wykonaj następujące polecenie. Zastąp <host-name> nazwą hosta z poprzedniego kroku.

Resolve-DnsName -Name "<host-name>"

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Name                                       Type   TTL   Section    NameHost
----                                       ----   ---   -------    --------
<hostNamePrefix>.<zone>.file.storage.azur  CNAME  60    Answer     <hostNamePrefix>.privatelink.file.core.windows.net
e.net

Name       : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

httpEndpoint=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "primaryEndpoints.file" --output tsv)

hostName=${httpEndpoint#https://}
hostName=${hostName%/}
echo $hostName

Na kliencie w sieci wirtualnej wykonaj następujące polecenie. Zastąp <host-name> nazwą hosta z poprzedniego kroku.

nslookup <host-name>

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
storageaccount.file.core.windows.net      canonical name = storageaccount.privatelink.file.core.windows.net.
Name:   storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5

hostName=$(az fileshare show \
    --resource-group $fileShareResourceGroupName \
    --name $fileShareName \
    --query "properties.hostName" --output tsv)

echo $hostName

Na kliencie w sieci wirtualnej wykonaj następujące polecenie. Zastąp <host-name> nazwą hosta z poprzedniego kroku.

nslookup <host-name>

W przypadku powodzenia zobaczysz dane wyjściowe podobne do poniższych, gdzie 192.168.0.5 jest prywatnym adresem IP prywatnego punktu końcowego w sieci wirtualnej.

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net      canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name:   <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5

Aby wyłączyć dostęp do sieci publicznej dla klasycznych udostępnień plików, postępuj zgodnie z następującymi krokami:

1. Przejdź do konta pamięci, gdzie chcesz ograniczyć wszelki dostęp do publicznego punktu końcowego.
2. W menu usług, w sekcji Bezpieczeństwo + sieciowanie, wybierz Sieciowanie.
3. W obszarze Dostęp do sieci publicznej wybierz pozycję Zarządzaj.
4. Wybierz Wyłącz, a następnie Wybierz Dalej.
5. Wybierz opcję Zapisz.

Przejdź do udziału sieciowego, w którym chcesz wyłączyć dostęp publiczny. Z menu usługi w obszarze Ustawienia wybierz pozycję Sieć. W obszarze Publiczne punkty końcowe — dostęp wybierz Wyłączone, a następnie wybierz Zapisz.

Dla klasycznych udziałów plików ustaw -PublicNetworkAccess na koncie magazynu na Disabled.

# Use the storage account variables from the beginning of this article.
$publicNetworkAccessParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    PublicNetworkAccess = "Disabled"
    ErrorAction = "Stop"
}
Set-AzStorageAccount @publicNetworkAccessParams | Out-Null

Ustaw -PublicNetworkAccess na Disabled w udziale plików.

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

$publicNetworkAccessParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    PublicNetworkAccess = "Disabled"
}
Update-AzFileShare @publicNetworkAccessParams

Dla klasycznych udziałów plików ustaw --public-network-access na koncie magazynu na Disabled.

# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this article.
az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --public-network-access Disabled \
    --output none

Ustaw --public-network-access na Disabled w udziale plików.

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --public-network-access Disabled

W przypadku klasycznych udostępnień plików postępuj zgodnie z tymi krokami, aby ograniczyć publiczny punkt końcowy do konkretnych sieci.

1. Przejdź do konta pamięci, gdzie chcesz ograniczyć publiczny punkt końcowy do konkretnych sieci.
2. W menu usług, w sekcji Bezpieczeństwo + sieciowanie, wybierz Sieciowanie.
3. W obszarze Dostęp do sieci publicznej wybierz pozycję Zarządzaj.
4. W zakresie dostępu do sieci publicznej wybierz Włączone dla wybranych sieci, a następnie wybierz Zapisz.
5. W ustawieniach zasobów: Sieci wirtualne, adresy IP i wyjątki wybierz Zarządzaj.
6. W sekcji Sieci wirtualne wybierz Dodaj sieć wirtualną>Dodaj istniejącą sieć wirtualną. Wybierz sieć wirtualną i podsieci. Jeśli podsieć nie ma punktu Microsoft.Storage końcowego usługi, wybierz Włącz i poczekaj na zakończenie operacji. Następnie wybierz pozycję Dodaj.
7. W przypadku dostępu SMB lub FileREST, w sekcji IPv4 Addresses wpisz publiczne adresy IP lub zakresy, które chcesz dopuścić. Reguły dotyczące adresów IP nie dają dostępu do NFS.
8. Jeśli integracja usług wymaga dostępu do zaufanej usługi, w sekcji Wyjątki wybierz Pozwól zaufanym usługom Microsoft na dostęp do tego zasobu.
9. Wybierz opcję Zapisz.

Dla Microsoft.FileShares postępuj zgodnie z tymi krokami, aby ograniczyć publiczny punkt końcowy do określonych sieci.

1. Przejdź do udziału plików, w którym chcesz ograniczyć dostęp publiczny.
2. Z menu usługi w obszarze Ustawienia wybierz pozycję Sieć.
3. Upewnij się, że Dostęp do publicznych punktów końcowych jest ustawiony na Włączone.
4. W sekcji Ograniczenia publicznych punktów końcowych wybierz Dodaj sieć wirtualną. Wybierz sieć wirtualną i podsieci. Jeśli podsieć nie ma punktu Microsoft.Storage końcowego usługi, wybierz Włącz i poczekaj na zakończenie operacji. Następnie wybierz pozycję Dodaj.
5. Wybierz opcję Zapisz.

W przypadku klasycznych udziałów plików ogranicz dostęp do publicznego punktu końcowego konta magazynu danych do określonych sieci wirtualnych przy użyciu punktów końcowych usługi. Najpierw zbierz informacje o koncie magazynu danych i sieci wirtualnej. Zastąp wartości symboli zastępczych w poniższych krokach własnymi wartościami.

$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$storageAccountParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    ErrorAction = "Stop"
}
$storageAccount = Get-AzStorageAccount @storageAccountParams

$virtualNetworkParams = @{
    ResourceGroupName = $restrictToVirtualNetworkResourceGroupName
    Name = $restrictToVirtualNetworkName
    ErrorAction = "Stop"
}
$virtualNetwork = Get-AzVirtualNetwork @virtualNetworkParams

$subnet = $virtualNetwork |
    Select-Object -ExpandProperty Subnets |
    Where-Object { $_.Name -eq $subnetName }

if ($null -eq $subnet) {
    $errorMessage = "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

Aby zezwolić na ruch z sieci wirtualnej, infrastruktura sieciowa platformy Azure musi udostępnić punkt końcowy usługi Microsoft.Storage w podsieci tej sieci wirtualnej. Następujące polecenia programu PowerShell dodają punkt końcowy usługi Microsoft.Storage do podsieci, jeśli jeszcze nie istnieje.

$serviceEndpoints = $subnet |
    Select-Object -ExpandProperty ServiceEndpoints |
    Select-Object -ExpandProperty Service

if ($serviceEndpoints -notcontains "Microsoft.Storage") {
    # Change the subnet object directly so the subnet keeps its delegations
    # and service endpoint policies.
    $storageEndpointParams = @{
        TypeName = "Microsoft.Azure.Commands.Network.Models.PSServiceEndpoint"
        Property = @{ Service = "Microsoft.Storage" }
    }
    $storageEndpoint = New-Object @storageEndpointParams
    $subnet.ServiceEndpoints = @($subnet.ServiceEndpoints | Where-Object { $_ }) + $storageEndpoint

    $virtualNetwork = $virtualNetwork | Set-AzVirtualNetwork -ErrorAction Stop
}

Ostatnim krokiem ograniczającym ruch do konta magazynu jest utworzenie reguły sieci wirtualnej platformy Azure i dodanie jej do zestawu reguł sieciowych tego konta magazynu.

$networkRuleParams = @{
    VirtualNetworkResourceId = $subnet.Id
    ErrorAction = "Stop"
}
$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule @networkRuleParams

$networkRuleSetParams = @{
    DefaultAction = "Deny"
    VirtualNetworkRule = $networkRule
    WarningAction = "SilentlyContinue"
    ErrorAction = "Stop"
}
$storageAccount | Update-AzStorageAccountNetworkRuleSet @networkRuleSetParams | Out-Null

Polecenia te zachowują istniejące ustawienia obejścia. Jeśli integracja wymaga dostępu do zaufanej usługi, dodaj -Bypass AzureServices do polecenia update. Parametr zastępuje ustawienie bypass, więc uwzględnij inne opcje bypass, których nadal wymaga Twoje obciążenie.

Dla dostępu SMB lub FileREST z internetu możesz również zezwolić na publiczne adresy IP lub zakresy. Reguły dotyczące adresów IP nie dotyczą klientów w tym samym regionie Azure co konto pamięci masowej. Inne ograniczenia można znaleźć w zasadach adresów IP.

$ipAddressOrRange = "<public-ip-address-or-cidr-range>"

$ipRuleParams = @{
    ResourceGroupName = $storageAccountResourceGroupName
    Name = $storageAccountName
    IPAddressOrRange = $ipAddressOrRange
    ErrorAction = "Stop"
}
Add-AzStorageAccountNetworkRule @ipRuleParams | Out-Null

Przekaż dozwolone identyfikatory zasobów podsieci do Update-AzFileShare, używając -AllowedSubnet. Reguły sieciowe dotyczą bezpośrednio udziału plików, więc nie ma konta magazynu do skonfigurowania. Podsieć klienta musi już mieć punkt końcowy usługi Microsoft.Storage.

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$virtualNetworkParams = @{
    ResourceGroupName = $virtualNetworkResourceGroupName
    Name = $virtualNetworkName
}
$subnet = Get-AzVirtualNetwork @virtualNetworkParams |
    Select-Object -ExpandProperty Subnets |
    Where-Object { $_.Name -eq $subnetName }

$allowedSubnetParams = @{
    ResourceGroupName = $fileShareResourceGroupName
    ResourceName = $fileShareName
    AllowedSubnet = @($subnet.Id)
}
Update-AzFileShare @allowedSubnetParams

W przypadku klasycznych udziałów plików ogranicz dostęp do publicznego punktu końcowego konta magazynu danych do określonych sieci wirtualnych przy użyciu punktów końcowych usługi. Najpierw zbierz informacje o koncie magazynu danych i sieci wirtualnej. Zastąp wartości symboli zastępczych w poniższych krokach własnymi wartościami.

storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

storageAccount=$(az storage account show \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --query "id" --output tsv)

virtualNetwork=$(az network vnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --name $restrictToVirtualNetworkName \
    --query "id" --output tsv)

subnet=$(az network vnet subnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --vnet-name $restrictToVirtualNetworkName \
    --name $subnetName \
    --query "id" --output tsv)

Aby zezwolić na ruch z sieci wirtualnej, infrastruktura sieciowa platformy Azure musi udostępnić punkt końcowy usługi Microsoft.Storage w podsieci tej sieci wirtualnej. Poniższe polecenia CLI dodają punkt końcowy usługi Microsoft.Storage do podsieci, jeśli jeszcze go tam nie ma.

serviceEndpoints=$(az network vnet subnet show \
    --resource-group $restrictToVirtualNetworkResourceGroupName \
    --vnet-name $restrictToVirtualNetworkName \
    --name $subnetName \
    --query "serviceEndpoints[].service" \
    --output tsv)

foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
    if [ $serviceEndpoint = "Microsoft.Storage" ]
    then
        foundStorageServiceEndpoint=true
    fi
done

if [ $foundStorageServiceEndpoint = false ]
then
    serviceEndpointList=""

    for serviceEndpoint in $serviceEndpoints
    do
        serviceEndpointList+=$serviceEndpoint
        serviceEndpointList+=" "
    done

    serviceEndpointList+="Microsoft.Storage"

    az network vnet subnet update \
        --ids $subnet \
        --service-endpoints $serviceEndpointList \
        --output none
fi

Ostatnim krokiem ograniczającym ruch do konta pamięci jest utworzenie reguły sieci wirtualnej i dodanie jej do zestawu reguł sieciowych tego konta.

az storage account network-rule add \
    --resource-group $storageAccountResourceGroupName \
    --account-name $storageAccountName \
    --subnet $subnet \
    --output none

az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --default-action "Deny" \
    --output none

Polecenia te zachowują istniejące ustawienia obejścia. Jeśli integracja wymaga dostępu do zaufanej usługi, dodaj --bypass AzureServices do polecenia update. Opcja zastępuje ustawienie obejścia, więc uwzględnij wszelkie inne opcje obejścia, których nadal wymaga Twoje obciążenie robocze.

Dla dostępu SMB lub FileREST z internetu możesz również zezwolić na publiczne adresy IP lub zakresy. Reguły dotyczące adresów IP nie dotyczą klientów w tym samym regionie Azure co konto pamięci masowej. Inne ograniczenia można znaleźć w zasadach adresów IP.

ipAddressOrRange="<public-ip-address-or-cidr-range>"

az storage account network-rule add \
    --resource-group $storageAccountResourceGroupName \
    --account-name $storageAccountName \
    --ip-address $ipAddressOrRange \
    --output none

Przekaż dozwolone identyfikatory zasobów podsieci do az fileshare update, używając --allowed-subnets. Reguły sieciowe dotyczą bezpośrednio udziału plików, więc nie ma konta magazynu do skonfigurowania. Podsieć klienta musi już mieć punkt końcowy usługi Microsoft.Storage.

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

subnetId=$(az network vnet subnet show \
    --resource-group $virtualNetworkResourceGroupName \
    --vnet-name $virtualNetworkName \
    --name $subnetName \
    --query "id" --output tsv)

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --allowed-subnets $subnetId