Integração de rede com Azure SRE Agent

A integração da rede virtual (VNet) controla onde o Agente SRE pode enviar tráfego de saída. Sem ele, as chamadas de saída passam pela internet pública. Com ele, o tráfego passa pela sua Rede Virtual do Azure. Esta integração de rede dá-lhe os mesmos controlos a nível de rede que usa para outras cargas de trabalho do Azure: integração com firewalls, comunicação com recursos atrás de endpoints privados e visibilidade nos registos da sua rede.

Modos de controlo de rede

O SRE Agent oferece três modos de controlo de rede. Selecione o modo que corresponda à sua postura de segurança e contexto operacional.

Escolha um modo de controlo de rede para a sua carga de trabalho

Use os seguintes critérios para selecionar um modo:

• Azure VNet: Escolha este modo se a carga de trabalho tratar dados sensíveis ou regulados, exigir um registo completo de auditoria da atividade da rede de saída ou tiver de cumprir as políticas de segurança da empresa. Este modo é recomendado para implementações empresariais em produção.

• Limitado: Escolha este modo se quiser restringir destinos externos específicos sem encaminhar todo o tráfego através de uma rede virtual. Este modo funciona bem quando precisas de controlo parcial sem a sobrecarga de uma configuração total de rede virtual.

• Irrestrito: Escolha este modo se a carga de trabalho for um ambiente de desenvolvimento ou teste de curto prazo sem acesso a dados sensíveis. Este modo é o padrão.

Para selecionar um modo, abra o seu agente no portal do Azure e selecione Definições>Configuração da área de trabalho. Alterna entre modos num agente em execução. As definições mantêm-se ao longo das alterações de modo.

Como funciona o modo Azure VNet

No modo Azure VNet, o tráfego de saída segue um de dois caminhos:

O teu VNet. Por predefinição, todo o tráfego de saída não pertencente à plataforma é encaminhado através de uma sub-rede delegada da sua rede virtual. As tuas regras NSG, políticas de firewall, DNS personalizado e registos de rede aplicam-se todas. O agente está sujeito aos mesmos controlos que qualquer outra carga de trabalho nessa sub-rede. Pode alcançar o que a sub-rede consegue alcançar, e nada mais.

O agente pode aceder a recursos atrás de endpoints privados, serviços internos e sistemas on-premises ligados via ExpressRoute ou VPN, desde que as rotas e regras da sua rede o permitam.

Rede de infraestrutura do Azure SRE Agent. Os serviços de plataforma dos quais o agente depende (orquestração, endpoints de modelo, telemetria) passam sempre pela infraestrutura gerida pela Microsoft. Estes serviços não são configuráveis. Algumas funcionalidades de agentes, como instalação de pacotes, acesso a repositórios de código e servidores MCP remotos, exigem o acesso a serviços públicos. Para usar estas funcionalidades no modo Azure VNET, ative a opção de alternância correspondente. Se um toggle estiver desligado, essa funcionalidade não está disponível a menos que o seu VNet possa encaminhar diretamente para esses serviços (por exemplo, através de regras de firewall baseadas em FQDN). Consulte Azure SRE Agent infra network para mais detalhes.

Resumo do encaminhamento do tráfego

Configurar o modo Azure VNet

Requisitos de sub-rede

O modo Azure VNet requer uma sub-rede dedicada na sua rede virtual:

• Tamanho: /27 ou mais.
• Delegação: A sub-rede deve ser delegada a Microsoft.App/environments.
• Região: A sub-rede deve estar na mesma região do seu recurso de Agente SRE.
• Dedicado: A sub-rede não pode ser partilhada com outros serviços.

Configurar o modo Azure VNet

1. Aceda a Definições>Configuração do espaço de trabalho>Rede.
2. Selecione o Azure VNet como modo de saída.
3. Selecione Explorar sub-redes.
4. Selecione a sua Subscrição, Grupo de Recursos, Rede Virtual e Sub-rede que cumpra os requisitos da sub-rede.
5. Selecione Guardar.
6. Teste o agente com um incidente representativo para confirmar que consegue aceder aos recursos necessários.

Rede de infraestrutura do Agente SRE do Azure

Algumas capacidades de agentes dependem de serviços públicos que são difíceis de permitir listar por endereço IP. No modo Azure VNet, estas capacidades requerem ou uma opção de rede de infraestrutura (que encaminha essa categoria através da rede de infraestrutura do Azure SRE Agent) ou regras de firewall baseadas em FQDN na sua VNet que permitam diretamente o tráfego. Consulte o resumo do encaminhamento de tráfego para a lista completa de categorias e caminhos.

Se desligares um toggle e o teu VNet não conseguir aceder ao serviço, essa funcionalidade fica indisponível.

Pacotes pré-instalados

Pré-instale os pacotes na imagem de disco de base da sandbox para que fiquem disponíveis sempre que o agente for executado. Esta funcionalidade é útil quando as suas ferramentas ou scripts dependem de pacotes específicos que não estão incluídos no ambiente sandbox padrão.

Para configurar pacotes pré-instalados:

1. Abra o seu agente no portal Azure e selecione Settings>Configuração do espaço de trabalho.

2. Selecione o separador Pacotes.

3. Introduza o nome do pacote, selecione o gestor de pacotes (pip ou NuGet) e, opcionalmente, especifique uma versão.

4. Selecionar + Adicionar pacote.

Controlos de desvio da rede virtual

Quando ativas o modo Azure VNet, a secção On the infra network da página de configuração do workspace permite-te encaminhar categorias de tráfego para fora do teu VNet através da internet pública. Se não ativares nenhum destes controlos, todo o tráfego dos agentes passa pelo teu VNet.

Nem todos os serviços externos fornecem uma etiqueta de serviço Azure. O GitHub, por exemplo, não é um serviço do Azure e não expõe uma tag de serviço. Se o seu agente precisar de aceder ao GitHub, a única opção com um firewall baseado em IP de Camada 4 é manter uma lista dos endereços IP do fornecedor. Essas listas mudam frequentemente, e um firewall que não se mantém atualizado quebra o agente.

O mesmo se aplica a vários serviços públicos importantes, como PyPI, npm, NuGet e registos de contentores. Estes serviços operam a partir de grandes e frequentemente alterados intervalos globais de IP, e não são cobertos pelas etiquetas de serviço do Azure.

Os controlos de bypass permitem ao agente aceder a estes hosts através do egresso da plataforma. A sua equipa de rede atualiza as regras do firewall ou passa para um firewall que suporta filtragem de nomes de host ou filtragem de nomes de domínio totalmente qualificados (FQDN). Exemplos incluem o Azure Firewall Premium com regras FQDN, ou um dispositivo virtual de rede que suporta inspeção de Segurança da Camada de Transporte.

Trate os controlos de contorno como uma medida transitória, não como um substituto permanente da filtragem de saída com reconhecimento de nomes de anfitrião.

Estão disponíveis os seguintes controlos:

Considerações de governação

O acesso a estes controlos está circunscrito aos utilizadores com a função SRE Agent Administrator. Criar um agente SRE num ambiente empresarial é, por si só, um ato de governação significativo porque as organizações normalmente requerem aprovação substancial para implementar serviços em produção. Os controlos de derrogação são um dos aspetos do contexto mais amplo da governação empresarial, que inclui identidade gerida, credenciais On-Behalf-Of (OBO) e permissões RBAC. O agente só pode fazer o que as suas permissões permitem, e a configuração da rede controla para onde vai esse tráfego.

Inspecionar a atividade da rede

Os administradores podem abrir Definições>Configuração do espaço de trabalho>Inspecionar e usar Auditoria de rede para analisar pedidos de saída filtrados, permitidos e negados do agente. Use o host, método, caminho e decisão para identificar destinos bloqueados pela política Limited ou Azure VNet.

A auditoria de rede abrange apenas decisões relativas à política de saída dos agentes. Não é um registo completo de auditoria de rede e não inclui todos os eventos de execução, conectores, plataformas, firewalls, DNS ou proxy.

O que acontece quando a rede bloqueia uma chamada

Se um pedido de saída for negado por uma regra de NSG ou não tiver uma rota, o agente verá o mesmo erro de rede que qualquer carga de trabalho nessa sub-rede veria. O agente comunica a falha na saída da investigação (por exemplo, "Não foi possível aceder ao espaço de trabalho do Log Analytics: a ligação expirou") e continua com as ferramentas e os dados a que consegue aceder. Se uma fonte de dados crítica estiver inacessível, a investigação fica incompleta e o agente reporta essa condição.

Limitações

Aplicam-se as seguintes limitações.

• Apenas de saída: A integração com a rede virtual controla apenas o tráfego de saída. As conexões de entrada para o agente provenientes de uma rede privada não são suportadas.

• Os conectores não são encaminhados através da rede virtual: o tráfego dos conectores é encaminhado pela Internet pública.

Conteúdo relacionado

• O que é Rede Virtual do Azure?
• Requisitos da rede SRE Agent
• Perguntas frequentes sobre agentes SRE