Sécurité du réseau

Cet article décrit les exigences et options de mise en réseau pour les serveurs avec Azure Arc.

Mise en réseau générale

Les serveurs avec Azure Arc sont une offre software-as-a-service avec une combinaison de points de terminaison globaux et régionaux partagés par tous les clients. Toutes les communications réseau du Azure Connected Machine Agent sont sortantes vers Azure. Azure n'entrera jamais dans votre réseau pour gérer vos machines. Ces connexions sont toujours chiffrées à l’aide de certificats TLS. La liste des points de terminaison et des adresses IP accessibles par l’agent est documentée dans la configuration réseau requise.

Les extensions que vous installez peuvent nécessiter des points de terminaison supplémentaires non inclus dans la configuration réseau requise pour Azure Arc. Pour plus d’informations sur la configuration réseau requise pour cette solution, consultez la documentation de l’extension.

Si votre organisation utilise l’inspection TLS, le Azure Connected Machine Agent n’utilise pas l’épinglage de certificat et continuera de fonctionner, tant que votre machine approuve le certificat présenté par le service d’inspection TLS. Certaines extensions d'Azure Arc utilisent le verrouillage des certificats et doivent être exclues de l'inspection TLS. Consultez la documentation sur les extensions que vous déployez pour déterminer si elles prennent en charge l’inspection TLS.

Points de terminaison privés

Les points de terminaison privés sont une technologie de mise en réseau Azure facultative qui permet au trafic réseau d’être envoyé via Express Route ou un VPN site à site et de contrôler plus précisément les machines qui peuvent utiliser Azure Arc. Avec des points de terminaison privés, vous pouvez utiliser des adresses IP privées dans l’espace d’adressage réseau de votre organisation pour accéder aux services cloud Azure Arc. En outre, seuls les serveurs que vous autorisez peuvent envoyer des données par l'intermédiaire de ces points de terminaison, ce qui protège contre l'utilisation non autorisée du Azure Connected Machine Agent dans votre réseau.

Il est important de noter que tous les terminaux et tous les scénarios ne sont pas pris en charge par les points de terminaison privés. Vous devez toujours faire des exceptions de pare-feu pour certains points de terminaison tels que Microsoft Entra ID, qui ne propose pas de solution de point de terminaison privé. Toutes les extensions que vous installez peuvent nécessiter d’autres points de terminaison privés (si pris en charge) ou un accès aux points de terminaison publics pour leurs services. En outre, vous ne pouvez pas utiliser SSH ou Windows Admin Center pour accéder à votre serveur via un point de terminaison privé.

Que vous utilisiez des points de terminaison privés ou publics, les données transférées entre Azure Connected Machine Agent et Azure seront toujours chiffrées. Vous pouvez toujours commencer par des points de terminaison publics et passer ultérieurement aux points de terminaison privés (ou inversement) à mesure que vos besoins métier changent.