Utilizar pontos finais privados com o Azure Maps (prévia)

O Azure Maps suporta Azure Private Link, permitindo acesso seguro aos serviços Azure Maps através de um endpoint privado na sua rede virtual. Um endpoint privado atribui um endereço IP privado da sua rede virtual ao serviço Azure Maps, para que o tráfego entre as suas aplicações e o Azure Maps permaneça na rede dorsal da Microsoft em vez da internet pública. Isto proporciona maior segurança e isolamento de rede. Pode criar um endpoint privado ao criar uma conta Azure Maps ou adicionar uma a uma conta existente.

Benefícios dos endpoints privados para Azure Maps

Os endpoints privados oferecem os seguintes benefícios para contas Azure Maps:

• Sem Exposição Pública na Internet: Pode isolar a sua conta Azure Maps da internet pública para reduzir a exposição a ameaças externas. Apenas os clientes dentro da sua rede privada podem aceder à conta. Isto pode ser feito bloqueando o acesso externo através da funcionalidade publicNetworkAccess .
• Comunicação VNet Segura: Os recursos na sua rede virtual (como VMs e contentores) comunicam com o Azure Maps usando endereços IP privados. O tráfego mantém-se dentro do VNet, simplificando a segurança da rede e evitando redes públicas, o que ajuda a cumprir os requisitos internos de segurança e conformidade.

Pré-requisitos

Se não tiver uma subscrição do Azure, crie uma conta gratuita antes de começar.

• Uma conta Azure Maps. Use uma conta Maps e uma rede virtual na mesma região Azure para um desempenho ótimo.
• Uma Rede Virtual e Sub-rede: Uma rede virtual e sub-rede na sua subscrição Azure para o endpoint privado. A sub-rede deve ter endereços IP disponíveis.
• Permissões obrigatórias
  • Para criar um endpoint privado que seja automaticamente aprovado, precisa de:
    • Azure Maps Contributor na conta Azure Maps
    • Contribuidor de Rede na rede virtual
  • Para criar um endpoint privado que exija aprovação manual, é necessário apenas o papel de Network Contributor .
• Escolha se o Azure gere automaticamente o DNS para o endpoint privado usando Azure Private DNS, ou se gere o DNS manualmente. Na maioria dos casos, o Azure Private DNS fornece a configuração mais simples.

Configurar um endpoint privado para o Azure Maps

Para permitir a conectividade privada de uma conta Azure Maps, crie um endpoint privado e configure o DNS para encaminhar o tráfego através da sua rede virtual.

1. Criar o endpoint privado (Portal ou CLI)

No portal Azure, vá a Criar um recurso e procure por Endpoint Privado. Também pode criar um endpoint privado a partir da secção de Rede do seu recurso Azure Maps. Selecione Criar para abrir o assistente.

• Princípios básicos: Selecione o Grupo de Subscrição e Recursos adequado para o recurso endpoint e escolha um Nome e uma Região (use a mesma região do seu VNet).
• Recurso: Para o método Connection, escolhe Ligar a um recurso Azure no meu diretório. Depois defina:
  • Tipo = Microsoft.Maps/accounts. Isto indica ao Azure que queres um link privado para uma conta Azure Maps.
  • Recurso = O nome da sua conta Azure Maps. Escolha a conta Azure Maps específica
  • Alvo do sub-recurso = mapsAccount. O Azure Maps tem um único subrecurso de ligação privada que representa o plano de dados da conta.
• Configuração: Selecione a Rede Virtual e a Sub-rede onde está colocado o endpoint privado. Garante que a sub-rede tem espaço para um IP. Deixe a integração com o DNS privado ativada, a menos que planeie configurar o DNS manualmente. Com a integração DNS ativada, o Azure cria uma zona DNS privada para privatelink.account.maps.azure.com e adiciona automaticamente o registo DNS necessário.

Quando a criação estiver concluída, aceda à sua conta do Azure Maps no portal e navegue até >. Deverás ver uma nova ligação listada. Se o criador do endpoint privado possuir ou tiver as permissões adequadas na conta Azure Maps, a ligação é normalmente aprovada automaticamente (o estado mostra "Aprovado"). Se aparecer "Pendente", pode ser necessária aprovação manual. Após aprovação, estabelece-se o link privado.

Exemplo – Utilizando o Azure CLI

O seguinte comando Azure CLI cria um endpoint privado para uma conta Azure Maps, equivalente aos passos do portal acima:

az network private-endpoint create \
  --name <MyPrivateEndpointName> \
  --resource-group <MyResourceGroup> \
  --vnet-name <MyVNetName> \
  --subnet <MySubnetName> \
  --private-connection-resource-id "/subscriptions/<SubscriptionID>/resourceGroups/<MyResourceGroup>/providers/Microsoft.Maps/accounts/<MyMapsAccountName>" \
  --group-id mapsAccount \
  --connection-name <MyConnectionName>

Este comando especifica o ID do recurso da conta Maps e o sub-recurso mapsAccount, juntamente com a rede virtual e a sub-rede usadas para o endpoint privado.

2. Configurar o DNS para o endpoint privado

Se ativaste a integração com Private DNS ao criar o endpoint privado (o predefinido), o Azure cria automaticamente uma zona Private DNS para privatelink.account.maps.azure.com a tua subscrição e liga-a à tua rede virtual.

Dentro desta zona, um registo DNS mapeia o ID e a região únicos da sua conta Azure Maps para o endereço IP privado do endpoint. Por exemplo, se o ID do cliente da sua conta do Maps for abc123 e a região for East US, o registo DNS resolve esse nome de host para o endereço IP do endpoint privado.

• Nome do disco:abc123.eastus.account.maps.azure.com
• Valor do registo:10.x.y.z - O endereço IP privado atribuído ao endpoint.

Os clientes dentro da rede virtual resolvem o nome do host para um endereço IP privado para conectividade privada, enquanto os clientes fora da rede resolvem o mesmo nome de host para o endpoint público do Azure Maps. Esta abordagem DNS de horizonte dividido permite-lhe usar um único URL de endpoint tanto dentro como fora da rede virtual.

Se não usar a integração automática de DNS, configure o DNS manualmente para que o nome de host da conta Azure Maps funcione corretamente.
O (<maps-account-client-id>.<location>.account.maps.azure.com) resolve-se para o endereço IP do endpoint privado dentro da sua rede. Para mais informações, consulte a documentação do Azure Private Endpoint DNS.

3. Use o endpoint privado nas suas aplicações

Para usar o endpoint privado, configure as suas aplicações para chamar o endpoint específico da conta do Azure Maps. Pode encontrar este endpoint nas páginas de Visão Geral da Conta ou Autenticação do Azure Maps, ou no recurso de endpoint privado na configuração DNS (FQDNs visíveis para o cliente).

O padrão de acesso é:

https://{maps-account-client-id}.{location}.account.maps.azure.com

4. [Opcional] Desativar o acesso à rede pública

Mesmo depois de criar um endpoint privado, os endpoints públicos da sua conta Azure Maps mantêm-se ativos por defeito. Isto permite que aplicações existentes fora da rede virtual continuem a funcionar até que as restrinja intencionalmente. Se precisar de acesso privado exclusivo, desative o acesso à rede pública para a conta do Maps.

No portal Azure, abra a sua conta Maps e vá a Redes. Defina o acesso público para desativar e guardar. Uma vez concluído, o Azure Maps rejeita qualquer tentativa de ligação através do endpoint público. Isto acrescenta uma camada extra de proteção: mesmo que alguém tenha a sua chave de autenticação Maps ou token SAS, não pode usá-lo pela internet assim que o acesso público está desligado.

Também pode desativar o acesso público através de templates ARM ou do Azure CLI definindo a propriedade publicNetworkAccess para Disabled.

Após desativar o acesso à rede pública, valide a conectividade de cada aplicação. Os endpoints públicos (por exemplo, atlas.microsoft.com) são bloqueados por design, por isso atualiza todas as configurações de aplicações e SDK para usar o endpoint DNS privado.

Outras considerações

• Resolução DNS: Se não conseguires ligar-te ao Azure Maps através do endpoint privado, verifica a tua configuração de DNS, pois problemas de DNS são uma causa comum de problemas de conectividade.
• Múltiplas Redes: Pode criar múltiplos endpoints privados para uma única conta Azure Maps para se conectar a partir de diferentes redes virtuais. Cada endpoint privado utiliza um endereço IP da sub-rede selecionada.

Usar Azure Private Link com Azure Maps mantém todo o tráfego de aplicações em redes privadas. Isto melhora a segurança e suporta políticas de rede empresariais, mantendo ao mesmo tempo a funcionalidade completa do Azure Maps. O Azure Maps é acedido através de endereços IP privados e DNS, garantindo que o tráfego permanece dentro dos limites da sua rede controlada.

Pergunte ao Copilot

Conteúdo relacionado

• Valores de zona DNS privada do Ponto Final Privado do Azure
• Disponibilidade do Azure Private Link