Restringa o acesso à importação e exportação de discos geridos usando o Private Link

subscriptionId=yourSubscriptionId
resourceGroupName=yourResourceGroupName
region=northcentralus
diskAccessName=yourDiskAccessForPrivateLink
vnetName=yourVnetForPrivateLink
subnetName=yourSubnetForPrivateLink
privateEndpointName=yourPrivateEndpointForSecureMDExportImport
privateEndpointConnectionName=yourPrivateEndpointConnection
privateDnsZoneName=privatelink.blob.core.windows.net
privateDnsZoneLinkName=yourDnsLink
privateDnsZoneGroupName=yourZoneGroup

# The name of an existing disk that is the source of the snapshot.
sourceDiskName=yourSourceDiskForSnapshot

# The name of the new snapshot secured with Private Link.
snapshotNameSecuredWithPrivateLink=yourSnapshotNameSecuredWithPrivateLink

az login
az account set --subscription $subscriptionId

$subscriptionId = "yourSubscriptionId"
$resourceGroupName = "yourResourceGroupName"
$location = "NorthCentralUS"
$diskAccessName = "yourDiskAccessForPrivateLink"
$vnetName = "yourVnetForPrivateLink"
$subnetName = "yourSubnetForPrivateLink"
$privateEndpointName = "yourPrivateEndpointForSecureMDExportImport"
$privateEndpointConnectionName = "yourPrivateEndpointConnection"
$privateDnsZoneName = "privatelink.blob.core.windows.net"
$privateDnsZoneLinkName = "yourDnsLink"
$privateDnsZoneGroupName = "yourZoneGroup"

# The name of an existing disk that is the source of the snapshot.
$sourceDiskName = "yourSourceDiskForSnapshot"

# The name of the new snapshot secured with Private Link.
$snapshotNameSecuredWithPrivateLink = "yourSnapshotNameSecuredWithPrivateLink"

Connect-AzAccount
Set-AzContext -Subscription $subscriptionId

Use o grupo de recursos, a região e o nome do recurso de acesso ao disco que definiu anteriormente. O comando az disk-access create cria o recurso de acesso ao disco. Depois, az disk-access show armazena o identificador do recurso em $diskAccessId para procedimentos posteriores.

az disk-access create -n $diskAccessName -g $resourceGroupName -l $region

diskAccessId=$(az disk-access show -n $diskAccessName -g $resourceGroupName --query [id] -o tsv)

Use o grupo de recursos, localização e nome do recurso de acesso ao disco que definiu anteriormente. O cmdlet New-AzDiskAccess cria o recurso de acesso ao disco e armazena-o em $diskAccess. O comando seguinte armazena o ID do recurso em $diskAccessId para procedimentos posteriores.

$diskAccess = New-AzDiskAccess -ResourceGroupName $resourceGroupName -Name $diskAccessName -Location $location
$diskAccessId = $diskAccess.Id

Use os nomes do grupo de recursos, da rede virtual e das sub-redes que definiu anteriormente. O comando create da rede vnet az cria a rede virtual e a sub-rede. Em seguida, az network vnet subnet update desativa as políticas de rede de pontos finais privados na sub-rede.

az network vnet create --resource-group $resourceGroupName \
    --name $vnetName \
    --subnet-name $subnetName

az network vnet subnet update --resource-group $resourceGroupName \
    --name $subnetName \
    --vnet-name $vnetName \
    --private-endpoint-network-policies Disabled

Use os nomes do grupo de recursos, localização, rede virtual e sub-redes que definiu anteriormente. O cmdlet New-AzVirtualNetworkSubnetConfig cria uma configuração de sub-rede com as políticas de rede de endpoint privado desativadas. Depois, o New-AzVirtualNetwork cria a rede virtual e a sub-rede e armazena a rede virtual em $vnet.

$subnetConfig = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.0.0/24" -PrivateEndpointNetworkPoliciesFlag "Disabled"

$vnet = New-AzVirtualNetwork -ResourceGroupName $resourceGroupName -Name $vnetName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnetConfig

Use o grupo de recursos, endpoint privado, rede virtual, sub-rede e nomes de ligação que definiu anteriormente. Este procedimento também utiliza $diskAccessId do procedimento de recurso de acesso ao disco. O comando az network private-endpoint create cria um ponto final privado para o recurso de acesso ao disco.

az network private-endpoint create --resource-group $resourceGroupName \
    --name $privateEndpointName \
    --vnet-name $vnetName \
    --subnet $subnetName \
    --private-connection-resource-id $diskAccessId \
    --group-ids disks \
    --connection-name $privateEndpointConnectionName

Utilize o grupo de recursos, a localização, o endpoint privado, a sub-rede e os nomes de ligação que definiu anteriormente. Este procedimento também utiliza $vnet e $diskAccessId a partir dos procedimentos anteriores. Os cmdlets obtêm a sub-rede, criam uma ligação de serviço Private Link ao recurso de acesso ao disco e, em seguida, criam o ponto final privado.

$subnet = Get-AzVirtualNetworkSubnetConfig -Name $subnetName -VirtualNetwork $vnet

$privateLinkServiceConnection = New-AzPrivateLinkServiceConnection -Name $privateEndpointConnectionName -PrivateLinkServiceId $diskAccessId -GroupId "disks"

$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $resourceGroupName -Name $privateEndpointName -Location $location -Subnet $subnet -PrivateLinkServiceConnection $privateLinkServiceConnection

Use os nomes do grupo de recursos, zona DNS privada, ligação de rede virtual, endpoint privado e grupo de zona DNS que definiu anteriormente. Os seguintes comandos criam a zona DNS privada, ligam-na à rede virtual e associam-na ao endpoint privado.

az network private-dns zone create --resource-group $resourceGroupName \
    --name $privateDnsZoneName

az network private-dns link vnet create --resource-group $resourceGroupName \
    --zone-name $privateDnsZoneName \
    --name $privateDnsZoneLinkName \
    --virtual-network $vnetName \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
   --resource-group $resourceGroupName \
    --endpoint-name $privateEndpointName \
   --name $privateDnsZoneGroupName \
   --private-dns-zone $privateDnsZoneName \
   --zone-name disks

Use os nomes do grupo de recursos, zona DNS privada, ligação de rede virtual, endpoint privado e grupo de zona DNS que definiu anteriormente. Os seguintes cmdlets criam a zona DNS privada, ligam-na a $vnet, configuram a zona e associam-na ao endpoint privado.

$privateDnsZone = New-AzPrivateDnsZone -ResourceGroupName $resourceGroupName -Name $privateDnsZoneName

New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $resourceGroupName -ZoneName $privateDnsZoneName -Name $privateDnsZoneLinkName -VirtualNetworkId $vnet.Id

$privateDnsZoneConfig = New-AzPrivateDnsZoneConfig -Name $privateDnsZoneName -PrivateDnsZoneId $privateDnsZone.ResourceId

New-AzPrivateDnsZoneGroup -ResourceGroupName $resourceGroupName -PrivateEndpointName $privateEndpointName -Name $privateDnsZoneGroupName -PrivateDnsZoneConfig $privateDnsZoneConfig

Defina o nome do disco gerido, SKU de armazenamento e tamanho para este procedimento. O procedimento reutiliza o grupo de recursos, a região e o nome do recurso de acesso ao disco que definiu anteriormente. O comando az disk create cria um disco gerido vazio, associa-o ao recurso de acesso ao disco e define a sua política de acesso à rede para AllowPrivate.

# These variables are specific to this step.
diskName=yourDiskName
diskSkuName=Standard_LRS
diskSizeGB=128

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az disk create -n $diskName \
    -g $resourceGroupName \
    -l $region \
    --size-gb $diskSizeGB \
    --sku $diskSkuName \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Defina o nome do disco gerido, SKU de armazenamento e tamanho para este procedimento. O procedimento reutiliza o grupo de recursos, localização e $diskAccessId valores que definiu anteriormente. O cmdlet New-AzDiskConfig cria uma configuração de disco que usa AllowPrivate, e o New-AzDisk cria o disco gerido vazio.

$diskName = "yourDiskName"
$diskSkuName = "Standard_LRS"
$diskSizeGB = 128

$diskConfig = New-AzDiskConfig -Location $location -SkuName $diskSkuName -CreateOption Empty -DiskSizeGB $diskSizeGB -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzDisk -ResourceGroupName $resourceGroupName -DiskName $diskName -Disk $diskConfig

Use o disco de origem existente, o novo snapshot, o grupo de recursos, a região e os nomes de acesso ao disco que definiu anteriormente. O comando az disk show recebe o ID do disco de origem. Depois, o az snapshot create cria o snapshot, associa-o ao recurso de acesso ao disco e define a sua política de acesso à rede para AllowPrivate.

# This step reuses variables defined in the first CLI sample.

diskId=$(az disk show -n $sourceDiskName -g $resourceGroupName --query [id] -o tsv)

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az snapshot create -n $snapshotNameSecuredWithPrivateLink \
    -g $resourceGroupName \
    -l $region \
    --source $diskId \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Use o disco de origem existente, o novo snapshot, o grupo de recursos, a localização e o ID de recurso de acesso ao disco que definiu anteriormente. O cmdlet Get-AzDisk fica com o disco de origem. Depois, o New-AzSnapshotConfig cria uma configuração de snapshot que usa AllowPrivate, e o New-AzSnapshot cria o snapshot.

$sourceDisk = Get-AzDisk -ResourceGroupName $resourceGroupName -DiskName $sourceDiskName

$snapshotConfig = New-AzSnapshotConfig -Location $location -CreateOption Copy -SourceResourceId $sourceDisk.Id -NetworkAccessPolicy AllowPrivate -DiskAccessId $diskAccessId

New-AzSnapshot -ResourceGroupName $resourceGroupName -SnapshotName $snapshotNameSecuredWithPrivateLink -Snapshot $snapshotConfig