Netzwerksicherheit

Dieser Artikel beschreibt die Netzwerkanforderungen und -optionen für Azure Arc-fähige Server.

Allgemeines Netzwerk

Azure Arc-fähige Server sind ein Software-as-a-Service-Angebot mit einer Kombination aus globalen und regionalen Endpunkten, die von allen Kundinnen und Kunden gemeinsam genutzt werden. Die gesamte Netzwerkkommunikation des Azure Connected Machine-Agents erfolgt ausgehend an Azure. Azure wird niemals „in“ Ihr Netzwerk eindringen, um Ihre Computer zu verwalten. Diese Verbindungen werden immer mit TLS-Zertifikaten verschlüsselt. Die Liste der Endpunkte und IP-Adressen, auf die der Agent zugreift, ist in den Netzwerkanforderungen dokumentiert.

Für die von Ihnen installierten Erweiterungen sind möglicherweise zusätzliche Endpunkte erforderlich, die nicht in den Azure Arc-Netzwerkanforderungen enthalten sind. Weitere Informationen zu den Netzwerkanforderungen für diese Lösung finden Sie in der Dokumentation der Erweiterung.

Wenn Ihre Organisation TLS-Inspektion verwendet, verwendet der Azure Connected Machine-Agent kein Zertifikats-Pinning und funktioniert weiterhin, solange Ihr Computer dem vom TLS-Inspektionsdienst vorgelegten Zertifikat vertraut. Einige Azure Arc-Erweiterungen verwenden Zertifikats-Pinning und müssen von der TLS-Prüfung ausgeschlossen werden. In der Dokumentation der Erweiterungen, die Sie bereitstellen, können Sie nachlesen, ob sie die TLS-Prüfung unterstützen.

Private Endpunkte

Private Endpunkte sind eine optionale Azure-Netzwerktechnologie, die es ermöglicht, den Netzwerkverkehr über Express Route oder ein Site-to-Site-VPN zu senden und genauer zu kontrollieren, welche Computer Azure Arc nutzen können. Mit privaten Endpunkten können Sie private IP-Adressen im Netzwerkadressraum Ihrer Organisation verwenden, um auf die Azure Arc Cloud-Services zuzugreifen. Darüber hinaus können nur von Ihnen autorisierte Server Daten über diese Endpunkte senden, was vor einer unbefugten Nutzung des Azure Connected Machine-Agenten in Ihrem Netzwerk schützt.

Es ist wichtig zu wissen, dass nicht alle Endpunkte und nicht alle Szenarien mit privaten Endpunkten unterstützt werden. Für einige Endpunkte wie z. B. Microsoft Entra ID, das keine private Endpunktlösung bietet, müssen Sie immer noch Firewall-Ausnahmen einrichten. Alle Erweiterungen, die Sie installieren, benötigen möglicherweise andere private Endpunkte (falls unterstützt) oder Zugriff auf die öffentlichen Endpunkte für ihre Dienste. Darüber hinaus können Sie weder SSH noch das Windows Admin Center verwenden, um über einen privaten Endpunkt auf Ihren Server zuzugreifen.

Unabhängig davon, ob Sie private oder öffentliche Endpunkte verwenden, werden die zwischen dem Azure Connected Machine Agent und Azure übertragenen Daten immer verschlüsselt. Sie können jederzeit mit öffentlichen Endpunkten beginnen und später zu privaten Endpunkten wechseln (oder umgekehrt), wenn sich Ihre geschäftlichen Anforderungen ändern.