Entrega de eventos de forma segura mediante identidades administradas

Si usa Event Grid básico y sus requisitos exigen una forma segura de enviar eventos mediante un canal cifrado y una identidad conocida del remitente (en este caso, Event Grid) por medio de un espacio de IP pública, puede enviar eventos a los servicios Event Hubs, Service Bus o Azure Storage mediante un tema o un dominio personalizados de Azure Event Grid con una identidad administrada por el sistema o por el usuario. Para más información sobre cómo entregar eventos mediante identidad administrada, consulte Entrega de eventos con una identidad administrada.

En esta configuración, el tráfico protegido de Event Grid a Event Hubs, Service Bus o Azure Storage, permanece en la red troncal de Microsoft y se usa una identidad administrada de Event Grid. La configuración de Azure Functions o de un webhook desde dentro de la red virtual para usar Event Hubs, Service Bus o Azure Storage a través de un vínculo privado garantiza que el tráfico entre esos servicios y la función o webhook permanece dentro del perímetro de la red virtual.

Entrega de eventos a Event Hubs mediante identidad administrada

Para enviar eventos a Event Hubs en el espacio de nombres de Event Hubs mediante identidad administrada, siga estos pasos:

1. Habilite la identidad asignada por el sistema o la identidad administrada asignada por el usuario: temas del sistema, temas y dominios personalizados.
2. Agregue la identidad al rol Remitente de datos de Azure Event Hubs en el espacio de nombres de Event Hubs.
3. Habilite el valor Allow trusted Microsoft services to bypass this firewall (Permitir que servicios de Microsoft de confianza omitan este firewall) en el espacio de nombres de Event Hubs.
4. Configure la suscripción de eventos que emplea un centro de eventos como punto de conexión para usar la identidad administrada asignada por el sistema o por el usuario.

Entrega de eventos a Service Bus mediante identidad administrada

Para enviar eventos a Service Bus colas o temas del espacio de nombres de Service Bus mediante identidad administrada, siga estos pasos:

1. Habilite la identidad asignada por el sistema o la identidad administrada asignada por el usuario: temas del sistema, temas y dominios personalizados.
2. Agregue la identidad al rol Remitente de datos de Azure Service Bus en el espacio de nombres de Service Bus.
3. Habilite el valor Allow trusted Microsoft services to bypass this firewall (Permitir que servicios de Microsoft de confianza omitan este firewall) en el espacio de nombres de Service Bus.
4. Configure la suscripción de eventos que emplea una cola o tema de Service Bus como punto de conexión para usar la identidad administrada asignada por el sistema o por el usuario.

Entrega de eventos a colas de Storage mediante la identidad administrada

Para enviar eventos a las colas de almacenamiento mediante identidad administrada, siga estos pasos:

1. Habilite la identidad asignada por el sistema o la identidad administrada asignada por el usuario: temas del sistema, temas y dominios personalizados.
2. Agregue la identidad al rol Remitente de mensajes de datos de Queue Storage en la cola de Azure Storage.
3. Configure la suscripción de eventos que emplea una cola de Storage como punto de conexión para usar la identidad administrada asignada por el sistema o por el usuario.

Entrega de eventos a Webhooks mediante la identidad administrada

Para entregar eventos a un webhook mediante la identidad administrada, siga estos pasos:

1. Habilite la identidad administrada asignada por el sistema o asignada por el usuario: temas del sistema, temas y dominios personalizados y espacios de nombres.
2. Cree un único inquilino o una aplicación multiinquilino para establecer la audiencia del token.
3. Configure la suscripción de eventos que usa un webhook como punto de conexión para usar la identidad administrada asignada por el sistema o asignada por el usuario. Una vez que seleccione el tipo de identidad administrada, debe introducir el nuevo identificador de aplicación y el identificador de inquilino. En el escenario entre inquilinos, el identificador de aplicación debe ser de una aplicación creada en el inquilino de destino.

Reglas de firewall y redes virtuales

Si no hay ninguna regla de firewall o red virtual configurada para la cuenta de almacenamiento de destino, el espacio de nombres de Event Hubs o el espacio de nombres de Service Bus, puede usar identidades asignadas por el usuario y asignadas por el sistema para entregar eventos.

Si se configura una regla de cortafuegos o de red virtual para la cuenta de almacenamiento de destino, el espacio de nombres de Event Hubs o el espacio de nombres de Service Bus, solo puede usar la identidad administrada asignada por el sistema si Permitir que los servicios de Azure de la lista de servicios de confianza accedan a la cuenta de almacenamiento también está habilitado en los destinos. No es posible usar la identidad administrada asignada por el usuario tanto si esta opción está habilitada como si no.

Contenido relacionado

Para más información sobre la entrega de eventos mediante identidad administrada, consulte Entrega de eventos con una identidad administrada.