Restringir o acesso de importação e exportação para discos gerenciados usando Link Privado

subscriptionId=yourSubscriptionId
resourceGroupName=yourResourceGroupName
region=northcentralus
diskAccessName=yourDiskAccessForPrivateLink
vnetName=yourVnetForPrivateLink
subnetName=yourSubnetForPrivateLink
privateEndpointName=yourPrivateEndpointForSecureMDExportImport
privateEndpointConnectionName=yourPrivateEndpointConnection
privateDnsZoneName=privatelink.blob.core.windows.net
privateDnsZoneLinkName=yourDnsLink
privateDnsZoneGroupName=yourZoneGroup

# The name of an existing disk that is the source of the snapshot.
sourceDiskName=yourSourceDiskForSnapshot

# The name of the new snapshot secured with Private Link.
snapshotNameSecuredWithPrivateLink=yourSnapshotNameSecuredWithPrivateLink

az login
az account set --subscription $subscriptionId

$subscriptionId = "yourSubscriptionId"
$resourceGroupName = "yourResourceGroupName"
$location = "NorthCentralUS"
$diskAccessName = "yourDiskAccessForPrivateLink"
$vnetName = "yourVnetForPrivateLink"
$subnetName = "yourSubnetForPrivateLink"
$privateEndpointName = "yourPrivateEndpointForSecureMDExportImport"
$privateEndpointConnectionName = "yourPrivateEndpointConnection"
$privateDnsZoneName = "privatelink.blob.core.windows.net"
$privateDnsZoneLinkName = "yourDnsLink"
$privateDnsZoneGroupName = "yourZoneGroup"

# The name of an existing disk that is the source of the snapshot.
$sourceDiskName = "yourSourceDiskForSnapshot"

# The name of the new snapshot secured with Private Link.
$snapshotNameSecuredWithPrivateLink = "yourSnapshotNameSecuredWithPrivateLink"

Connect-AzAccount
Set-AzContext -Subscription $subscriptionId

Use o grupo de recursos, a região e o nome do recurso de acesso ao disco que você definiu anteriormente. O comando az disk-access create cria o recurso de acesso ao disco. Em seguida, o az disk-access mostra que armazena sua ID $diskAccessId de recurso para procedimentos posteriores.

az disk-access create -n $diskAccessName -g $resourceGroupName -l $region

diskAccessId=$(az disk-access show -n $diskAccessName -g $resourceGroupName --query [id] -o tsv)

Use o grupo de recursos, o local e o nome do recurso de acesso ao disco que você definiu anteriormente. O cmdlet New-AzDiskAccess cria o recurso de acesso ao disco e o armazena em $diskAccess. O próximo comando armazena sua ID $diskAccessId de recurso para procedimentos posteriores.

$diskAccess = New-AzDiskAccess -ResourceGroupName $resourceGroupName -Name $diskAccessName -Location $location
$diskAccessId = $diskAccess.Id

Use o grupo de recursos, a rede virtual e os nomes de sub-rede que você definiu anteriormente. O comando az network vnet create cria a rede virtual e a sub-rede. Em seguida, a atualização de sub-rede da rede virtual de rede az desabilita as políticas de rede de ponto de extremidade privado na sub-rede.

az network vnet create --resource-group $resourceGroupName \
    --name $vnetName \
    --subnet-name $subnetName

az network vnet subnet update --resource-group $resourceGroupName \
    --name $subnetName \
    --vnet-name $vnetName \
    --private-endpoint-network-policies Disabled

Use o grupo de recursos, o local, a rede virtual e os nomes de sub-rede definidos anteriormente. O cmdlet New-AzVirtualNetworkSubnetConfig cria uma configuração de sub-rede com políticas de rede de ponto de extremidade privado desabilitadas. Em seguida, New-AzVirtualNetwork cria a rede virtual e a sub-rede e armazena a rede virtual em $vnet.

$subnetConfig = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.0.0/24" -PrivateEndpointNetworkPoliciesFlag "Disabled"

$vnet = New-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name $vnetName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnetConfig

Use o grupo de recursos, o ponto de extremidade privado, a rede virtual, a sub-rede e os nomes de conexão que você definiu anteriormente. Esse procedimento também usa $diskAccessId o procedimento de recurso de acesso ao disco. O comando az network private-endpoint create cria um ponto de extremidade privado para o recurso de acesso ao disco.

az network private-endpoint create --resource-group $resourceGroupName \
    --name $privateEndpointName \
    --vnet-name $vnetName \
    --subnet $subnetName \
    --private-connection-resource-id $diskAccessId \
    --group-ids disks \
    --connection-name $privateEndpointConnectionName

Use o grupo de recursos, o local, o ponto de extremidade privado, a sub-rede e os nomes de conexão definidos anteriormente. Este procedimento também usa $vnet e $diskAccessId dos procedimentos anteriores. Os cmdlets obtêm a sub-rede, criam uma conexão de serviço de link privado com o recurso de acesso ao disco e criam o ponto de extremidade privado.

$subnet = Get-AzVirtualNetworkSubnetConfig -Name $subnetName -VirtualNetwork $vnet

$privateLinkServiceConnection = New-AzPrivateLinkServiceConnection -Name $privateEndpointConnectionName -PrivateLinkServiceId $diskAccessId -GroupId "disks"

$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $resourceGroupName -Name $privateEndpointName -Location $location -Subnet $subnet -PrivateLinkServiceConnection $privateLinkServiceConnection

Use o grupo de recursos, a zona DNS privada, o link de rede virtual, o ponto de extremidade privado e os nomes de grupo de zonaS DNS definidos anteriormente. Os comandos a seguir criam a zona DNS privada, vinculam-na à rede virtual e a associam ao ponto de extremidade privado.

az network private-dns zone create --resource-group $resourceGroupName \
    --name $privateDnsZoneName

az network private-dns link vnet create --resource-group $resourceGroupName \
    --zone-name $privateDnsZoneName \
    --name $privateDnsZoneLinkName \
    --virtual-network $vnetName \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
   --resource-group $resourceGroupName \
    --endpoint-name $privateEndpointName \
   --name $privateDnsZoneGroupName \
   --private-dns-zone $privateDnsZoneName \
   --zone-name disks

Use o grupo de recursos, a zona DNS privada, o link de rede virtual, o ponto de extremidade privado e os nomes de grupo de zonaS DNS definidos anteriormente. Os cmdlets a seguir criam a zona DNS privada, vinculam-na a $vnet, configuram a zona e associam-na ao ponto de extremidade privado.

$privateDnsZone = New-AzPrivateDnsZone -ResourceGroupName $resourceGroupName -Name $privateDnsZoneName

New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $resourceGroupName -ZoneName $privateDnsZoneName -Name $privateDnsZoneLinkName -VirtualNetworkId $vnet.Id

$privateDnsZoneConfig = New-AzPrivateDnsZoneConfig -Name $privateDnsZoneName -PrivateDnsZoneId $privateDnsZone.ResourceId

New-AzPrivateDnsZoneGroup -ResourceGroupName $resourceGroupName -PrivateEndpointName $privateEndpointName -Name $privateDnsZoneGroupName -PrivateDnsZoneConfig $privateDnsZoneConfig

Defina o nome do disco gerenciado, a SKU de armazenamento e o tamanho deste procedimento. O procedimento reutiliza o grupo de recursos, a região e o nome do recurso de acesso ao disco que você definiu anteriormente. O comando az disk create cria um disco gerenciado vazio, associa-o ao recurso de acesso ao disco e define sua política de acesso à rede como AllowPrivate.

# These variables are specific to this step.
diskName=yourDiskName
diskSkuName=Standard_LRS
diskSizeGB=128

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az disk create -n $diskName \
    -g $resourceGroupName \
    -l $region \
    --size-gb $diskSizeGB \
    --sku $diskSkuName \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Defina o nome do disco gerenciado, a SKU de armazenamento e o tamanho deste procedimento. O procedimento reutiliza o grupo de recursos, o local e $diskAccessId os valores definidos anteriormente. O cmdlet New-AzDiskConfig cria uma configuração de disco que usa AllowPrivatee o New-AzDisk cria o disco gerenciado vazio.

$diskName = "yourDiskName"
$diskSkuName = "Standard_LRS"
$diskSizeGB = 128

$diskConfig = New-AzDiskConfig -Location $location -SkuName $diskSkuName -CreateOption Empty -DiskSizeGB $diskSizeGB -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzDisk -ResourceGroupName $resourceGroupName -DiskName $diskName -Disk $diskConfig

Use o disco de origem, o novo instantâneo, o grupo de recursos, a região e os nomes de recursos de acesso ao disco que você definiu anteriormente. O comando az disk show obtém a ID do disco de origem. Em seguida, az snapshot create cria o instantâneo, associa-o ao recurso de acesso ao disco e define sua política de acesso à rede como AllowPrivate.

# This step reuses variables defined in the first CLI sample.

diskId=$(az disk show -n $sourceDiskName -g $resourceGroupName --query [id] -o tsv)

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az snapshot create -n $snapshotNameSecuredWithPrivateLink \
    -g $resourceGroupName \
    -l $region \
    --source $diskId \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Use o disco de origem, o novo instantâneo, o grupo de recursos, o local e a ID do recurso de acesso ao disco que você definiu anteriormente. O cmdlet Get-AzDisk obtém o disco de origem. Em seguida, New-AzSnapshotConfig cria uma configuração de instantâneo que usa AllowPrivatee New-AzSnapshot cria o instantâneo.

$sourceDisk = Get-AzDisk -ResourceGroupName $resourceGroupName -DiskName $sourceDiskName

$snapshotConfig = New-AzSnapshotConfig -Location $location -CreateOption Copy -SourceResourceId $sourceDisk.Id -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzSnapshot -ResourceGroupName $resourceGroupName -SnapshotName $snapshotNameSecuredWithPrivateLink -Snapshot $snapshotConfig