Nätverkssäkerhet för Azure Event Grid-namnområden

I den här artikeln beskrivs hur du använder följande säkerhetsfunktioner med Azure Event Grid:

• Tjänsttaggar för utgående trafik
• IP-brandväggsregler
• Privata slutpunkter

Tjänstetaggar

En tjänsttagg representerar en grupp IP-adressprefix från en viss Azure-tjänst. Microsoft hanterar adressprefixerna som omfattas av tjänstetaggen och uppdaterar automatiskt tjänstetaggen när adresserna ändras, vilket minimerar komplexiteten av frekventa uppdateringar av nätverkssäkerhetsregler. Mer information om tjänsttaggar finns i Översikt över tjänsttaggar.

Du kan använda tjänsttaggar för att definiera nätverksåtkomstkontroller i nätverkssäkerhetsgrupper eller Azure-brandväggen. Använd tjänsttaggar i stället för specifika IP-adresser när du skapar säkerhetsregler. Genom att ange namnet på tjänsttaggen (till exempel Azure Event Grid) i lämpliga käll- eller målfält för en regel kan du tillåta eller neka trafik för motsvarande tjänst.

IP-brandvägg

Som standard är Event Grid-namnområden och entiteter tillgängliga från Internet så länge begäran levereras med giltig autentisering (åtkomstnyckel) och auktorisering. Med IP-brandväggen kan du begränsa den ytterligare till endast en uppsättning IPv4-adresser eller IPv4-adressintervall i notationen CIDR (Classless Inter-Domain Routing). Klienter som kommer från andra IP-adresser avvisas och får ett 403-svar (förbjudet).

För MQTT-scenarier (Message Queueing Telemetry Transport) kan endast klienter som tillhör det tillåtna IP-intervallet ansluta för att publicera och prenumerera på händelser. Mer information finns i Konfigurera IP-brandväggen för Event Grid-namnområden i MQTT-scenarier.

För icke-MQTT-scenarier kan endast klienter som tillhör det tillåtna IP-intervallet ansluta till Azure Event Grid för att publicera händelser eller hämta händelser. Mer information finns i Konfigurera IP-brandväggen för Event Grid-namnområden i scenarier som inte är MQTT.

Stegen är desamma för båda scenarierna. De här artiklarna innehåller ytterligare information som är specifik för MQTT- eller icke-MQTT-scenarier.

Privata slutpunkter

En privat slutpunkt är ett särskilt nätverksgränssnitt för en Azure-tjänst i ditt virtuella nätverk. När du skapar en privat slutpunkt för ditt namnområde ger den säker anslutning mellan klienter i ditt virtuella nätverk och Event Grid-namnområdet. Den privata slutpunkten tilldelas en IP-adress från IP-adressintervallet för ditt virtuella nätverk. Anslutningen mellan den privata slutpunkten och Event Grid-tjänsten använder en säker privat länk. Med privata slutpunkter för Event Grid-namnområdet kan du:

• Skydda åtkomsten till ditt namnområde från ett virtuellt nätverk via Microsofts stamnätverk i stället för det offentliga Internet.
• Anslut säkert från lokala nätverk som ansluter till det virtuella nätverket med HJÄLP av VPN eller Express Routes med privat peering.

När du skapar en privat slutpunkt för ett namnområde i ditt virtuella nätverk skickas en begäran om medgivande för godkännande till resursägaren. Om användaren som begär att den privata slutpunkten ska skapas också är ägare till resursen godkänns begäran om medgivande automatiskt. Annars är anslutningen i väntande tillstånd tills den har godkänts. Program i det virtuella nätverket kan ansluta till Event Grid-tjänsten via den privata slutpunkten sömlöst, med samma anslutningssträng och auktoriseringsmekanismer som de skulle använda annars. Resursägare kan hantera begäranden om medgivande och privata slutpunkter via fliken Privata slutpunkter för resursen i Azure Portal.

När en MQTT-klient i ett privat nätverk ansluter till MQTT-koordinatorn på en privat länk kan klienten publicera och prenumerera på MQTT-meddelanden. Mer information finns i Konfigurera privata slutpunkter för namnområden i MQTT-scenarier.

I icke-MQTT-scenarier kan en klient i ett privat nätverk ansluta till Event Grid-namnområdet och publicera händelser eller pull-händelser. Mer information finns i Konfigurera privata slutpunkter för namnområden i scenarier som inte är MQTT.

Ansluta till privata slutpunkter

Du kan använda privata slutpunkter för att tillåta ingress av händelser direkt från ditt virtuella nätverk till entiteter i Event Grid-namnområden på ett säkert sätt via en privat länk utan att gå via det offentliga Internet. Den privata slutpunkten använder en IP-adress från det virtuella nätverkets adressutrymme för ditt namnområde.

Klienter i ett virtuellt nätverk som använder den privata slutpunkten bör använda samma anslutningssträng för namnområdet som klienter som ansluter till den offentliga slutpunkten. DNS-uppslagning (Domain Name System) dirigerar automatiskt anslutningar från det virtuella nätverket till namnutrymmet via en privat länk. Event Grid skapar som standard en privat DNS-zon som är kopplad till det virtuella nätverket med nödvändig uppdatering för de privata slutpunkterna. Men om du använder din egen DNS-server kan du behöva göra ytterligare ändringar i DNS-konfigurationen.

När en MQTT-klient i ett privat nätverk ansluter till MQTT-koordinatorn på en privat länk kan klienten publicera och prenumerera på MQTT-meddelanden.

DNS-ändringar för privata slutpunkter

När du skapar en privat slutpunkt uppdateras DNS CNAME-posten för resursen till ett alias i en underdomän med prefixet privatelink. Som standard skapas en privat DNS-zon som motsvarar den privata länkens underdomän.

När du löser slutpunkts-URL:n för namnområdet från utsidan av det virtuella nätverket med en privat slutpunkt, löses den till tjänstens offentliga slutpunkt. DNS-resursposterna för "namespaceA", när de hämtas från utanför det virtuella nätverket som är värd för den privata slutpunkten, är:

Du kan neka eller kontrollera åtkomsten för en klient utanför det virtuella nätverket via den offentliga slutpunkten med hjälp av IP-brandväggen.

När namnområdets slutpunkts-URL löses upp från det virtuella nätverket som är värd för den privata slutpunkten, översätts den till den privata slutpunktens IP-adress. DNS-resursposterna för namnområdet "namespaceA", när de löses upp inifrån det virtuella nätverket som är värd för den privata slutpunkten, är:

Den här metoden ger åtkomst till namnområdet med samma anslutningssträng för klienter i det virtuella nätverket som är värd för de privata slutpunkterna och klienter utanför det virtuella nätverket.

Om du använder en anpassad DNS-server i nätverket kan klienterna matcha det fullständigt kvalificerade domännamnet (FQDN) för namnområdesslutpunkten till ip-adressen för den privata slutpunkten. Konfigurera DNS-servern för att delegera din privata länkunderdomän till den privata DNS-zonen för det virtuella nätverket, eller konfigurera A-poster för namespaceName.regionName.privatelink.eventgrid.azure.net med IP-adressen till den privata slutpunkten.

Det rekommenderade DNS-zonnamnet är privatelink.eventgrid.azure.net.

Privata slutpunkter och publicering

I följande tabell beskrivs de olika tillstånden för den privata slutpunktsanslutningen och effekterna på publiceringen:

För att publiceringen ska lyckas bör det privata slutpunktsanslutningstillståndet godkännas. Om en anslutning avvisas kan den inte godkännas med hjälp av Azure Portal. Den enda möjligheten är att ta bort anslutningen och skapa en ny i stället.

Kvoter och begränsningar

Det finns en gräns för antalet IP-brandväggsregler och privata slutpunktsanslutningar per namnområde. Se Event Grid-kvoter och -gränser.

Relaterade artiklar

Om du använder MQTT kan du läsa följande artiklar:

• Konfigurera IP-brandvägg för Event Grid-namnområden i MQTT-scenarier
• Konfigurera privata slutpunkter för Event Grid-namnområden i MQTT-scenarier

Information om pull-baserad händelseleverans finns i följande artiklar:

• Konfigurera IP-brandvägg för Event Grid-namnområden i scenarier som inte är MQTT
• Konfigurera privata slutpunkter för Event Grid-namnområden i scenarier som inte är MQTT