Pontos de extremidade privados para o Agendador de Tarefas Duráveis

Um ponto de extremidade privado é uma interface de rede que conecta você de forma privada e segura a um serviço oferecido por Link Privado do Azure. Você pode usar pontos de extremidade privados com o Agendador de Tarefas Duráveis para permitir que os aplicativos em sua rede virtual se conectem ao agendador por meio de uma conexão privada, sem expor o tráfego à Internet pública.

Conexões de ponto de extremidade privado

Por padrão, os aplicativos se conectam ao Agendador de Tarefas Duráveis em um endereço de endpoint público no formato {scheduler-name}-{suffix}.{region}.durabletask.io. Quando você cria um ponto de extremidade privado para o recurso do agendador, o ponto de extremidade é mapeado para um endereço IP privado em sua rede virtual. Essa configuração permite que seus aplicativos se comuniquem com o agendador pelo link de rede privada em vez da Internet pública.

Um ponto de extremidade privado para o Agendador de Tarefas Duráveis tem como destino o sub-recurso scheduler dentro do tipo de recurso Microsoft.DurableTask/schedulers.

Os clientes que se conectam por meio do ponto de extremidade privado usam o mesmo endereço de ponto de extremidade e mecanismo de autenticação que os clientes que se conectam ao ponto de extremidade público. A resolução de DNS converte automaticamente o ponto de extremidade do agendador em um endereço IP privado quando a solicitação parte de dentro da rede virtual.

Benefícios

Os pontos de extremidade privados do Agendador de Tarefas Duráveis permitem:

• Proteja o agendador configurando o firewall para bloquear todas as conexões no ponto de extremidade público.
• Aumente a segurança da rede virtual, permitindo que você bloqueie a exfiltração de dados da rede virtual.
• Conectar-se com segurança de redes locais integradas à rede virtual por meio de VPN ou ExpressRoute com emparelhamento privado.

Arquitetura de rede

Com um ponto de extremidade privado, a conectividade entre os aplicativos na rede virtual e o agendador flui pela rede principal da Microsoft. O tráfego nunca atravessa a Internet pública.

O diagrama a seguir ilustra a diferença entre a conectividade de endpoints públicos e privados.

• Sem um ponto de extremidade privado, seu aplicativo envia o tráfego gRPC pela Internet pública para o ponto de extremidade público do agendador.
• Com um ponto de extremidade privado, seu aplicativo envia o tráfego gRPC pelo endereço IP privado da rede virtual, que roteia pelo Link Privado do Azure até o agendador.

Ambos os métodos de conexão usam criptografia TLS e autenticação baseada em identidade por meio de identidade gerenciada.

Configuração de DNS

Ao criar um ponto de extremidade privado para um recurso do agendador, é necessário que o DNS resolva o ponto de extremidade para o endereço IP privado atribuído. Você pode usar uma das seguintes abordagens:

• Azure DNS privado zonas (recomendado): Azure configura automaticamente uma zona private DNS vinculada à sua rede virtual. Dentro da rede virtual, as consultas DNS para o ponto de extremidade do agendador são resolvidas para o endereço IP privado.
• Servidor DNS personalizado: se você usar um servidor DNS personalizado, adicione um registro DNS para o ponto de extremidade do agendador que aponta para o endereço IP privado do ponto de extremidade privado.
• Arquivo de host (para teste): você pode modificar o arquivo de host em uma máquina virtual para apontar o endpoint do agendador para o endereço IP privado do endpoint privado.

Acesso à rede pública

Depois de configurar um ponto de extremidade privado, opcionalmente, você pode desabilitar o acesso à rede pública no recurso Agendador de Tarefas Duráveis. Quando o acesso público é desabilitado, somente conexões por meio de pontos de extremidade privados são permitidas. Essa configuração garante que todo o tráfego entre seus aplicativos e o agendador permaneça dentro da rede virtual.

Considerações

Considere os seguintes pontos ao utilizar pontos de extremidade privados com o Agendador de Tarefas Duráveis:

• Região: o ponto de extremidade privado deve ser implantado na mesma região que a rede virtual. O recurso do agendador pode estar em uma região diferente, embora colocá-los na mesma região seja recomendado para uma latência ideal.
• Disponibilidade de SKU: compatível com agendadores que utilizam SKU Dedicada e SKU de Consumo.
• Vários pontos de extremidade privados: você pode criar vários pontos de extremidade privados para o mesmo recurso de agendador em redes virtuais diferentes para habilitar o acesso de várias redes.
• Identidade e RBAC: os pontos de extremidade privados protegem o caminho de rede até o agendador. Você ainda precisa configurar o controle de acesso baseado em identidade para autenticar e autorizar seus aplicativos.
• Centro de tarefas: uma conexão de ponto de extremidade privado se aplica a todos os centros de tarefas do agendador. Você não pode criar conexões de ponto de extremidade privado para hubs de tarefas individuais.
• Emulador: o emulador do Agendador de Tarefas Duráveis é executado localmente e não dá suporte a pontos de extremidade privados. Os pontos de extremidade privados se aplicam apenas a recursos do agendador implantados no Azure.

Configurar um endpoint privado

Para criar um ponto de extremidade privado para o recurso agendador de tarefas duráveis, siga as etapas gerais de criação de ponto de extremidade privado para seu método preferencial. Independentemente do método escolhido, use os seguintes valores específicos do Agendador de Tarefas Duráveis ao configurar o ponto de extremidade privado:

az network private-endpoint create \
    --name <private-endpoint-name> \
    --resource-group <resource-group> \
    --vnet-name <vnet-name> \
    --subnet <subnet-name> \
    --private-connection-resource-id /subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.DurableTask/schedulers/<scheduler-name> \
    --group-id scheduler \
    --connection-name <connection-name>

resource privateEndpoint 'Microsoft.Network/privateEndpoints@2024-05-01' = {
  name: privateEndpointName
  location: location
  properties: {
    subnet: {
      id: subnetId
    }
    privateLinkServiceConnections: [
      {
        name: connectionName
        properties: {
          privateLinkServiceId: schedulerResourceId
          groupIds: [
            'scheduler'
          ]
        }
      }
    ]
  }
}

Próximas Etapas 

• Learn mais sobre Link Privado do Azure
• Saiba mais sobre Pontos de Extremidade Privados do Azure
• Sobre o Agendador de Tarefas Duráveis