Zarządzanie prywatnymi punktami końcowymi platformy Azure

Prywatne punkty końcowe platformy Azure mają kilka opcji zarządzania konfiguracją i wdrażaniem.

Wartości GroupId i MemberName można określić, wykonując zapytanie dotyczące zasobu usługi Azure Private Link. Do skonfigurowania statycznego adresu IP dla prywatnego punktu końcowego podczas tworzenia potrzebne są wartości GroupId i MemberName.

Prywatny punkt końcowy ma dwie właściwości niestandardowe: statyczny adres IP i nazwę interfejsu sieciowego. Te właściwości należy ustawić po utworzeniu prywatnego punktu końcowego.

W przypadku dostawcy usług i konsumenta wdrażających usługę Private Link, istnieje proces zatwierdzania w celu nawiązania połączenia.

Określ identyfikator grupy i nazwę członka

Podczas tworzenia prywatnego punktu końcowego przy użyciu programu Azure PowerShell i interfejsu wiersza polecenia platformy Azure mogą być potrzebne wartości GroupId i MemberName zasobu prywatnego punktu końcowego.

• GroupId jest subzasobem prywatnego punktu końcowego.
• MemberName jest unikatową sygnaturą prywatnego adresu IP punktu końcowego.

Aby uzyskać więcej informacji na temat podzasobów prywatnych punktów końcowych i ich wartości, zobacz zasób Private Link.

Aby określić wartości GroupId i MemberName dla zasobu prywatnego punktu końcowego, użyj następujących poleceń. MemberName znajduje się we właściwości RequiredMembers.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Właściwości niestandardowe

Zmiana nazwy interfejsu sieciowego i przypisanie statycznego adresu IP to właściwości niestandardowe, które można ustawić w prywatnym punkcie końcowym podczas tworzenia.

Zmiana nazwy interfejsu sieciowego

Domyślnie po utworzeniu prywatnego punktu końcowego interfejs sieciowy skojarzony z prywatnym punktem końcowym otrzymuje losową nazwę interfejsu sieciowego. Interfejs sieciowy musi mieć nazwę podczas tworzenia prywatnego punktu końcowego. Zmiana nazwy interfejsu sieciowego istniejącego prywatnego punktu końcowego nie jest obsługiwana.

Użyj następujących poleceń podczas tworzenia prywatnego punktu końcowego, aby zmienić nazwę interfejsu sieciowego.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Statyczny adres IP

Domyślnie po utworzeniu prywatnego punktu końcowego adres IP punktu końcowego jest przypisywany automatycznie. Adres IP jest przypisywany z zakresu adresów IP sieci wirtualnej skonfigurowanej dla prywatnego punktu końcowego. Może wystąpić sytuacja, gdy wymagany jest statyczny adres IP dla prywatnego punktu końcowego. Statyczny adres IP musi być przypisany podczas tworzenia prywatnego punktu końcowego. Konfiguracja statycznego adresu IP dla istniejącego prywatnego punktu końcowego jest obecnie nieobsługiwana.

Aby uzyskać procedury konfigurowania statycznego adresu IP podczas tworzenia prywatnego punktu końcowego, zobacz Tworzenie prywatnego punktu końcowego przy użyciu programu Azure PowerShell i Tworzenie prywatnego punktu końcowego przy użyciu interfejsu wiersza polecenia platformy Azure.

Połączenia z prywatnym punktem końcowym

Usługa Private Link działa w modelu zatwierdzania, w którym użytkownik usługi Private Link może zażądać połączenia z dostawcą usług w celu korzystania z usługi.

Następnie dostawca usług może zdecydować, czy zezwolić użytkownikowi na nawiązywanie połączenia. Usługa Private Link umożliwia dostawcom usług zarządzanie połączeniem prywatnego punktu końcowego w swoich zasobach.

Istnieją dwie metody zatwierdzania połączenia, które użytkownik usługi Private Link może wybrać:

• Automatyczne: Jeśli konsument usługi ma uprawnienia RBAC (kontrola dostępu oparta na rolach) platformy Azure do zasobów dostawcy usługi, może wybrać metodę automatycznego zatwierdzania. Gdy żądanie osiągnie zasób dostawcy usług, nie jest wymagana żadna akcja od dostawcy usług, a połączenie zostanie automatycznie zatwierdzone.

• ręczne: Jeśli konsument usługi nie ma uprawnień RBAC do zasobu dostawcy usług, może wybrać metodę ręcznego zatwierdzania. Żądanie połączenia jest wyświetlane w zasobach usługi jako Oczekujące. Dostawca usług musi ręcznie zatwierdzić żądanie przed nawiązaniem połączeń.

  W przypadkach ręcznych użytkownik usługi może również określić komunikat z żądaniem podania większego kontekstu dostawcy usług. Dostawca usług ma następujące opcje wyboru dla wszystkich połączeń prywatnych punktów końcowych: Zatwierdź, Odrzući Usuń.

W poniższej tabeli przedstawiono różne akcje dostawcy usług i wynikowe stany połączenia dla prywatnych punktów końcowych. Dostawca usług może zmienić stan połączenia w późniejszym czasie bez interwencji konsumenta. Akcja aktualizuje stan punktu końcowego po stronie konsumenta.

Zarządzanie połączeniami prywatnego punktu końcowego w zasobach usługi Azure PaaS

Wykonaj poniższe kroki, aby zarządzać połączeniem prywatnego punktu końcowego w witrynie Azure Portal.

1. Zaloguj się w witrynie Azure Portal.

2. W polu wyszukiwania w górnej części portalu wprowadź Private Link. W wynikach wyszukiwania wybierz pozycję Private Link.

3. W Centrum Private Linkwybierz prywatne punkty końcowe lub usługi Private Link.

4. Dla każdego z punktów końcowych można wyświetlić liczbę skojarzonych z nim połączeń prywatnych punktów końcowych. Zasoby można filtrować zgodnie z potrzebami.

5. Wybierz prywatny punkt końcowy. W obszarze połączeń na liście wybierz połączenie, którym chcesz zarządzać.

6. Stan połączenia można zmienić, wybierając z opcji u góry.

Zarządzanie połączeniami prywatnego punktu końcowego w usłudze Private Link należącej do klienta lub partnera

Użyj następujących poleceń programu PowerShell i interfejsu wiersza polecenia platformy Azure, aby zarządzać połączeniami prywatnego punktu końcowego w usługach partnerskich firmy Microsoft lub usługach należących do klienta.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Następne kroki

• Dowiedz się więcej o prywatnych punktach końcowych