Używanie usługi Azure Private Link do bezpiecznego łączenia serwerów z usługą Azure Arc

Usługa Azure Private Link umożliwia bezpieczne łączenie usług Azure platformy jako usługi (PaaS) z siecią wirtualną przy użyciu prywatnych punktów końcowych. W przypadku wielu usług należy skonfigurować punkt końcowy dla każdego zasobu. Następnie możesz połączyć lokalne lub wielochmurowe serwery z usługą Azure Arc i wysyłać cały ruch przez usługę Azure ExpressRoute lub połączenie wirtualnej sieci prywatnej (VPN) typu lokacja-lokacja zamiast używać sieci publicznych.

Za pomocą serwerów z obsługą usługi Azure Arc można użyć modelu zakresu łącza prywatnego, aby umożliwić wielu serwerom lub maszynom komunikowanie się z zasobami usługi Azure Arc przy użyciu jednego prywatnego punktu końcowego.

W tym artykule opisano, kiedy używać zakresu usługi Azure Arc Private Link i sposobu jej konfigurowania.

Zalety

Za pomocą usługi Private Link możesz wykonywać następujące czynności:

• Połącz się prywatnie z usługą Azure Arc bez otwierania dostępu do sieci publicznej.
• Upewnij się, że dostęp do danych z komputera lub serwera z obsługą usługi Azure Arc jest uzyskiwany tylko za pośrednictwem autoryzowanych sieci prywatnych. To wymaganie obejmuje również dane z rozszerzeń maszyn wirtualnych zainstalowanych na maszynie lub serwerze, które zapewniają obsługę zarządzania i monitorowania po wdrożeniu.
• Zapobiegaj eksfiltracji danych z sieci prywatnych, definiując określone serwery z obsługą usługi Azure Arc i inne zasoby usług platformy Azure, takie jak Usługa Azure Monitor, która łączy się za pośrednictwem prywatnego punktu końcowego.
• Bezpiecznie połącz prywatną sieć lokalną z usługą Azure Arc przy użyciu usług ExpressRoute i Private Link.
• Zachowaj cały ruch wewnątrz sieci szkieletowej platformy Microsoft Azure.

Aby uzyskać więcej informacji, zobacz Najważniejsze korzyści wynikające z usługi Azure Private Link.

Jak to działa

Zakres usługi Azure Arc Private Link łączy prywatne punkty końcowe (i sieci wirtualne, w których są zawarte) z zasobem platformy Azure. W tym przypadku jest to serwery z obsługą usługi Azure Arc. Po włączeniu jednego z obsługiwanych rozszerzeń maszyn wirtualnych dla serwerów z obsługą usługi Azure Arc, takich jak usługa Azure Monitor, te zasoby łączą inne zasoby platformy Azure, takie jak:

• Obszar roboczy usługi Log Analytics, który jest wymagany do śledzenia zmian i spisu usługi Azure Automation, szczegółowych informacji o maszynach wirtualnych usługi Azure Monitor i zbierania dzienników usługi Azure Monitor za pomocą agenta usługi Azure Monitor.
• Azure Key Vault.
• Usługa Azure Blob Storage, która jest wymagana dla rozszerzenia niestandardowego skryptu.

Aby pobrać diagramy architektury w wysokiej rozdzielczości, odwiedź stronę Jumpstart Gems.

Łączność z dowolnym innym zasobem platformy Azure z serwera z obsługą usługi Azure Arc wymaga skonfigurowania usługi Private Link dla każdej usługi, która jest opcjonalna, ale zalecamy ją. Usługa Private Link wymaga oddzielnej konfiguracji dla każdej z usług.

Aby uzyskać więcej informacji na temat konfigurowania usługi Private Link dla wymienionych wcześniej usług platformy Azure, zobacz artykuły dotyczące usług Azure Automation, Azure Monitor, Key Vault lub Blob Storage.

• Prywatny punkt końcowy w sieci wirtualnej umożliwia dostęp do punktów końcowych serwerów z obsługą usługi Azure Arc za pośrednictwem prywatnych adresów IP z puli sieci zamiast używania publicznych adresów IP tych punktów końcowych. W ten sposób można nadal używać zasobu serwerów z obsługą usługi Azure Arc bez otwierania sieci wirtualnej na ruch wychodzący, którego nie zażądano.
• Ruch z prywatnego punktu końcowego do zasobów przechodzi przez sieć szkieletową platformy Azure i nie jest kierowany do sieci publicznych.
• Poszczególne składniki można skonfigurować tak, aby zezwalały na pozyskiwanie danych i zapytania z sieci publicznych lub odmawiały ich pozyskiwania. Zapewnia to ochronę na poziomie zasobów, dzięki czemu można kontrolować ruch do określonych zasobów.

Ograniczenia i limity

Obiekt zakresu łącza prywatnego serwerów z obsługą usługi Azure Arc ma kilka limitów, które należy wziąć pod uwagę podczas planowania konfiguracji usługi Private Link:

• Co najwyżej jeden zakres łącza prywatnego usługi Azure Arc może być skojarzony z siecią wirtualną.
• Maszyna lub zasób serwera z obsługą usługi Azure Arc może łączyć się tylko z jednym zakresem łącza prywatnego serwerów z obsługą usługi Azure Arc.
• Wszystkie maszyny lokalne muszą używać tego samego prywatnego punktu końcowego, rozpoznając poprawne informacje o prywatnym punkcie końcowym, takie jak w pełni kwalifikowana nazwa domeny (FQDN) i prywatny adres IP. Muszą używać tego samego serwera przekazywania systemu nazw domen (DNS). Aby uzyskać więcej informacji, zobacz Konfiguracja usługi DNS prywatnego punktu końcowego platformy Azure.
• Serwer z obsługą usługi Azure Arc i zakres linków prywatnych usługi Azure Arc muszą znajdować się w tym samym regionie świadczenia usługi Azure co wzajemnie. Prywatny punkt końcowy i sieć wirtualna muszą znajdować się w tym samym regionie Azure, ale mogą różnić się od obszaru łącza prywatnego usługi Azure Arc i serwera z obsługą usługi Azure Arc.
• Ruch sieciowy do usługi Microsoft Entra ID i Azure Resource Manager nie przechodzi przez zakres łącza prywatnego usługi Azure Arc i nadal używa domyślnej trasy sieciowej do Internetu. Opcjonalnie można skonfigurować prywatny link do zarządzania zasobami w celu wysyłania ruchu usługi Resource Manager do prywatnego punktu końcowego.
• Inne usługi platformy Azure, których używasz, na przykład Azure Monitor, wymagają własnych prywatnych punktów końcowych w sieci wirtualnej.
• Dostęp zdalny do serwera przy użyciu centrum administracyjnego systemu Windows lub protokołu SSH nie jest obecnie obsługiwany za pośrednictwem łącza prywatnego.

Planowanie konfiguracji łącza prywatnego

Aby połączyć serwer z usługą Azure Arc za pośrednictwem łącza prywatnego, należy skonfigurować sieć w celu wykonania następujących zadań:

1. Ustanów połączenie między siecią lokalną a siecią wirtualną platformy Azure przy użyciu sieci VPN typu lokacja-lokacja lub obwodu usługi ExpressRoute.

2. Wdróż zakres łącza prywatnego usługi Azure Arc, który kontroluje maszyny lub serwery, które mogą komunikować się z usługą Azure Arc za pośrednictwem prywatnych punktów końcowych. Skojarz ją z siecią wirtualną platformy Azure przy użyciu prywatnego punktu końcowego.

3. Zaktualizuj konfigurację DNS w sieci lokalnej, aby rozwiązać problemy z prywatnymi adresami punktów końcowych.

4. Skonfiguruj zaporę lokalną, aby zezwolić na dostęp do identyfikatora Entra firmy Microsoft i usługi Resource Manager.

5. Skojarz maszyny lub serwery zarejestrowane, które obsługują Azure Arc, z zakresem łącza prywatnego.

6. Opcjonalnie wdróż prywatne punkty końcowe dla innych usług platformy Azure, które zarządzają maszyną lub serwerem, takie jak:

   • Azure Monitor
   • Automatyzacja platformy Azure
   • Azure Blob Storage
   • Azure Key Vault

W tym artykule założono, że skonfigurowaliśmy już obwód usługi ExpressRoute lub połączenie sieci VPN typu lokacja-lokacja.

Konfiguracja sieci

Serwery z obsługą usługi Azure Arc integrują się z kilkoma usługami platformy Azure, aby zapewnić zarządzanie i nadzór w chmurze dla maszyn hybrydowych lub serwerów. Większość z tych usług oferuje już prywatne punkty końcowe. Należy skonfigurować zaporę i reguły routingu, aby zezwolić na dostęp do usługi Microsoft Entra ID i Resource Manager przez Internet, dopóki te usługi nie będą oferować prywatnych punktów końcowych.

Istnieją dwa sposoby zezwalania na dostęp:

• Jeśli sieć jest skonfigurowana do kierowania całego ruchu powiązanego z Internetem za pośrednictwem obwodu sieci VPN platformy Azure lub usługi ExpressRoute, możesz skonfigurować sieciową grupę zabezpieczeń skojarzona z podsiecią na platformie Azure. Użyj tagów usługi, aby zezwolić na wychodzący dostęp TCP 443 (HTTPS) do Microsoft Entra ID i platformy Azure. Reguły NSG powinny wyglądać jak w poniższej tabeli.

  Ustawienie	Reguła ID Entra firmy Microsoft	Reguła platformy Azure
  Źródło	Sieć wirtualna	Sieć wirtualna
  Zakresy portów źródłowych	*	*
  Cel	Tag usługi	Tag usługi
  Docelowy tag usługi	AzureActiveDirectory	AzureResourceManager
  Zakresy portów docelowych	443	443
  Protokół	TCP	TCP
  Akcja	Zezwalaj	Zezwalaj
  Priorytet	150 (Musi być niższa niż każda reguła blokująca dostęp do Internetu).	151 (Musi być niższa niż każda reguła blokująca dostęp do Internetu).
  Nazwisko	AllowAADOutboundAccess	AllowAzOutboundAccess

• Skonfiguruj zaporę w sieci lokalnej, aby zezwolić na wychodzący dostęp tcp 443 (HTTPS) do identyfikatora Entra firmy Microsoft i platformy Azure przy użyciu plików tagów usługi do pobrania. Plik JSON zawiera wszystkie zakresy publicznych adresów IP używane przez identyfikator Firmy Microsoft Entra i platformę Azure i są aktualizowane co miesiąc w celu odzwierciedlenia wszelkich zmian. Tag usługi Microsoft Entra ID to AzureActiveDirectory. Tag usługi platformy Azure to AzureResourceManager. Skontaktuj się z administratorem sieci i dostawcą zapory sieciowej, aby dowiedzieć się, jak skonfigurować reguły zapory.

Aby dowiedzieć się więcej na temat przepływów ruchu sieciowego, zobacz diagram w sekcji Jak to działa w tym artykule.

Tworzenie zakresu łącza prywatnego usługi Azure Arc

1. Zaloguj się w witrynie Azure Portal.

2. Przejdź do pozycji Utwórz zasób w witrynie Azure Portal, wyszukaj pozycję Zakres usługi Azure Arc Private Link, a następnie wybierz pozycję Utwórz.

   

   Alternatywnie przejdź bezpośrednio do strony Zakresów usługi Azure Arc Private Link w portalu, a następnie wybierz pozycję Utwórz.

3. Na karcie Podstawy wybierz subskrypcję i grupę zasobów.

4. Wprowadź nazwę zakresu łącza prywatnego usługi Azure Arc. Najlepiej użyć zrozumiałej i jasnej nazwy.

5. Możesz opcjonalnie wymagać, aby każda maszyna lub serwer z obsługą Azure Arc, skojarzony z tym zakresem prywatnego łącza Azure Arc, wysyłał dane do usługi za pośrednictwem prywatnego punktu końcowego. W tym celu zaznacz pole wyboru Zezwalaj na dostęp do sieci publicznej , aby maszyny lub serwery skojarzone z tym zakresem łącza prywatnego usługi Azure Arc mogły komunikować się z usługą za pośrednictwem sieci prywatnych lub publicznych. To ustawienie można zmienić po utworzeniu zakresu zgodnie z potrzebami.

6. Wybierz kartę Prywatny punkt końcowy , a następnie wybierz pozycję Utwórz.

7. W okienku Tworzenie prywatnego punktu końcowego:

   1. Wprowadź nazwę punktu końcowego.

   2. W obszarze Integracja z prywatną strefą DNS wybierz pozycję Tak i pozwól jej automatycznie utworzyć nową prywatną strefę DNS.

      Uwaga

      Jeśli wybierzesz opcję Nie i chcesz ręcznie zarządzać rekordami DNS, najpierw zakończ konfigurowanie łącza prywatnego, w tym tego prywatnego punktu końcowego i konfiguracji zakresu prywatnego. Następnie skonfiguruj usługę DNS zgodnie z instrukcjami w konfiguracji dns prywatnego punktu końcowego platformy Azure. Pamiętaj, aby nie tworzyć pustych rekordów jako przygotowania do konfiguracji łącza prywatnego. Utworzone rekordy DNS mogą zastąpić istniejące ustawienia i wpłynąć na łączność z serwerami z obsługą usługi Azure Arc.

      Nie można używać tej samej sieci wirtualnej/strefy DNS zarówno dla zasobów usługi Azure Arc, które używają linków prywatnych, jak i tych, które nie korzystają z łączy prywatnych. Zasoby Azure Arc, które nie są połączone z prywatnymi linkami, muszą łączyć się z publicznymi punktami końcowymi.

   3. Wybierz przycisk OK.

8. Wybierz opcję Recenzja i utwórz.

   

9. Niech walidacja przejdzie pomyślnie, a następnie wybierz pozycję Utwórz.

Konfigurowanie lokalnego przekazywania DNS

Maszyny lokalne lub serwery muszą być w stanie rozpoznać rekordy DNS łącza prywatnego z prywatnymi adresami IP punktu końcowego. Sposób konfigurowania tego zachowania zależy od tego, czy używasz następujących elementów:

• Prywatne strefy DNS platformy Azure do obsługi rekordów DNS.
• Własny serwer DNS w środowisku lokalnym i liczbę skonfigurowanych serwerów.

Konfiguracja DNS przy użyciu zintegrowanych z platformą Azure prywatnych stref DNS

Jeśli podczas tworzenia prywatnego punktu końcowego skonfigurowano prywatne strefy DNS dla serwerów z obsługą usługi Azure Arc i konfiguracji gościa, maszyny lokalne lub serwery muszą mieć możliwość przekazywania zapytań DNS do wbudowanych serwerów DNS platformy Azure w celu poprawnego rozpoznawania prywatnych adresów końcowych. Potrzebujesz przekaźnika DNS na platformie Azure (specjalnie utworzonej maszyny wirtualnej lub wystąpienia usługi Azure Firewall z włączoną funkcją proxy DNS). Następnie możesz skonfigurować lokalny serwer DNS do przekazywania zapytań do platformy Azure w celu rozpoznawania prywatnych adresów IP punktów końcowych.

Aby uzyskać więcej informacji, zobacz Azure DNS Private Resolver z lokalnym serwerem przesyłania dalej DNS (Usługa rozpoznawania prywatnego usługi Azure DNS z lokalnym serwerem przesyłania dalej DNS).

Ręczna konfiguracja serwera DNS

Jeśli zrezygnowano z używania prywatnych stref DNS platformy Azure podczas tworzenia prywatnego punktu końcowego, musisz utworzyć wymagane rekordy DNS na lokalnym serwerze DNS.

1. W portalu Azure przejdź do zasobu punktu końcowego prywatnego, który jest skojarzony z Twoją siecią wirtualną i zakresem łącza prywatnego.

2. W menu usługi w obszarze Ustawienia wybierz pozycję Konfiguracja DNS , aby wyświetlić listę rekordów DNS i odpowiednie adresy IP, które należy skonfigurować na serwerze DNS. Nazwy FQDN i adresy IP zmieniają się w zależności od regionu wybranego dla prywatnego punktu końcowego i dostępnych adresów IP w podsieci.

3. Postępuj zgodnie ze wskazówkami od dostawcy serwera DNS, aby dodać niezbędne strefy DNS i rekordy A zgodnie z tabelą w portalu. Upewnij się, że wybrany serwer DNS został odpowiednio dopasowany do Twojej sieci. Każda maszyna lub serwer korzystający z tego serwera DNS rozpoznaje teraz prywatne adresy IP punktu końcowego. Każdy komputer lub serwer musi być skojarzony z zakresem łącza prywatnego usługi Azure Arc lub połączenie jest odrzucane.

Scenariusze z pojedynczym serwerem

Jeśli planujesz używać linków prywatnych do obsługi tylko kilku maszyn lub serwerów, możesz nie chcieć zaktualizować konfiguracji DNS całej sieci. W takim przypadku można dodać nazwy i adresy IP prywatnego punktu końcowego do pliku Hosty systemu operacyjnego. W zależności od konfiguracji systemu operacyjnego plik Hosts może być podstawową lub alternatywną metodą rozpoznawania nazwy hosta na adres IP.

Windows

1. Użyj konta z uprawnieniami administratora, aby otworzyć plik C:\Windows\System32\drivers\etc\hosts.

2. Dodaj prywatne adresy IP i nazwy hostów punktu końcowego z listy konfiguracji DNS zgodnie z opisem w temacie Ręczna konfiguracja serwera DNS. Plik hosts wymaga najpierw adresu IP, a następnie spacji, a następnie nazwy hosta.

3. Zapisz plik ze zmianami. Najpierw może być konieczne zapisanie pliku w innym katalogu, a następnie skopiowanie pliku do oryginalnej ścieżki.

Linux

1. Otwórz plik /etc/hosts w edytorze tekstów.

2. Dodaj prywatne adresy IP i nazwy hostów punktu końcowego z listy konfiguracji DNS zgodnie z opisem w temacie Ręczna konfiguracja serwera DNS. Plik hosts najpierw prosi o adres IP, a następnie spację, a następnie nazwę hosta.

3. Zapisz plik ze zmianami.

Podłącz się do serwera obsługiwanego przez Azure Arc

Użycie prywatnego punktu końcowego wymaga agenta połączonej maszyny platformy Azure w wersji 1.4 lub nowszej. Skrypt wdrożenia serwerów z obsługą Azure Arc, wygenerowany w portalu, pobiera najnowszą wersję.

Konfigurowanie nowego serwera z obsługą usługi Azure Arc do korzystania z usługi Private Link

Po pierwszym połączeniu maszyny lub serwera z serwerami obsługującymi usługę Azure Arc można opcjonalnie połączyć go z zakresem sieci prywatnej.

1. W przeglądarce przejdź do witryny Azure Portal.

2. Przejdź do Maszyny — Azure Arc.

3. Na stronie Maszyny — Azure Arc wybierz pozycję Dodaj/Utwórz w lewym górnym rogu, a następnie wybierz pozycję Dodaj maszynę z menu rozwijanego.

4. Na stronie Dodawanie serwerów z usługą Azure Arc wybierz pozycję Dodaj pojedynczy serwer lub Dodaj wiele serwerów w zależności od scenariusza wdrażania, a następnie wybierz pozycję Generuj skrypt.

5. Na stronie Podstawowe podaj następujące informacje:

   1. Wybierz subskrypcję i grupę zasobów dla maszyny.

   2. Z listy rozwijanej Region wybierz region świadczenia usługi Azure, w którym będą przechowywane metadane maszyny lub serwera.

   3. Z listy rozwijanej System operacyjny wybierz system operacyjny, na którym jest skonfigurowany skrypt do uruchomienia.

   4. W obszarze Metoda łączności wybierz pozycję Prywatny punkt końcowy i wybierz zakres łącza prywatnego usługi Azure Arc utworzony w części 1 z listy rozwijanej.

      

   5. Wybierz Dalej: Tagi.

6. W przypadku wybrania opcji Dodaj wiele serwerów na stronie Uwierzytelnianie wybierz jednostkę usługi utworzoną dla serwerów z obsługą usługi Azure Arc z listy rozwijanej. Jeśli musisz utworzyć jednostkę usługi dla serwerów z obsługą usługi Azure Arc, zapoznaj się z instrukcjami tworzenia jednostki usługi , aby dowiedzieć się więcej o uprawnieniach i krokach wymaganych do jej utworzenia. Wybierz pozycję Dalej: Tagi , aby kontynuować.

7. Na stronie Tagi przejrzyj sugerowane domyślne tagi lokalizacji fizycznej i wprowadź wartość lub określ co najmniej jeden tag niestandardowy do obsługi standardów.

8. Wybierz pozycję Dalej: Pobierz i uruchom skrypt.

9. Na stronie Pobieranie i uruchamianie skryptu przejrzyj informacje podsumowania, a następnie wybierz pozycję Pobierz.

Po pobraniu skryptu musisz uruchomić go na komputerze lub serwerze przy użyciu uprzywilejowanego konta (administratora lub głównego). W zależności od konfiguracji sieci może być konieczne pobranie agenta z komputera z dostępem do Internetu i przeniesienie go na komputer lub serwer. Następnie zmodyfikuj skrypt, dodając ścieżkę do agenta.

Agenta systemu Windows i agenta systemu Linux można pobrać. Wyszukaj najnowszą wersję azcmagent w katalogu dystrybucji Twojego systemu operacyjnego i zainstaluj ją za pomocą lokalnego menedżera pakietów.

Skrypt zwraca komunikaty o stanie, które poinformują Cię, czy wdrożenie zakończyło się pomyślnie.

Ruch z agenta połączonej maszyny platformy Azure do Microsoft Entra ID (login.windows.net, login.microsoftonline.com, pas.windows.net) i usługi Resource Manager (management.azure.com) nadal korzysta z publicznych punktów końcowych. Jeśli serwer musi komunikować się za pośrednictwem serwera proxy, aby uzyskać dostęp do tych punktów końcowych, skonfiguruj agenta przy użyciu adresu URL serwera proxy przed nawiązaniem połączenia z platformą Azure. Może być również konieczne skonfigurowanie obejścia serwera proxy dla usług Azure Arc, jeśli prywatny punkt końcowy nie jest dostępny z serwera proxy.

Konfigurowanie istniejącego serwera z obsługą usługi Azure Arc

W przypadku serwerów z obsługą usługi Azure Arc, które zostały skonfigurowane przed zakresem łącza prywatnego, można zezwolić na ich uruchamianie przy użyciu zakresu łącza prywatnego serwerów z obsługą usługi Azure Arc.

1. W witrynie Azure Portal przejdź do zasobu zakresu łącza prywatnego usługi Azure Arc.

2. W menu usługi w obszarze Konfiguruj wybierz pozycję Zasoby usługi Azure Arc, a następnie wybierz pozycję + Dodaj.

3. Wybierz serwery z listy, które chcesz skojarzyć z zakresem łącza prywatnego, a następnie wybierz pozycję Wybierz , aby zapisać zmiany.

   

Zaakceptowanie połączeń z niedawno powiązanych serwerów może potrwać do 15 minut.

Rozwiązywanie problemów

Jeśli wystąpią problemy, mogą pomóc następujące sugestie:

• Sprawdź lokalny serwer DNS, aby sprawdzić, czy jest on przekierowywany do usługi Azure DNS lub jest skonfigurowany z odpowiednimi rekordami A w strefie łącza prywatnego. Te polecenia wyszukiwania powinny zwracać prywatne adresy IP w sieci wirtualnej platformy Azure. Jeśli rozpoznają publiczne adresy IP, sprawdź dokładnie konfigurację DNS maszyny lub serwera i sieci.

  nslookup gbl.his.arc.azure.com
  nslookup agentserviceapi.guestconfiguration.azure.com
  

• W przypadku problemów z przygotowaniem maszyny lub serwera do pracy, upewnij się, że tagi usługi Microsoft Entra ID i Resource Manager zostały dodane do lokalnej zapory sieciowej. Agent musi komunikować się z tymi usługami przez Internet, dopóki prywatne punkty końcowe nie będą dostępne dla tych usług.

Aby uzyskać więcej pomocy dotyczącej rozwiązywania problemów, zobacz Rozwiązywanie problemów z łącznością prywatnego punktu końcowego platformy Azure.

Treści powiązane

• Dowiedz się więcej o prywatnych punktach końcowych w artykule Co to jest prywatny punkt końcowy?.
• Dowiedz się, jak skonfigurować łącza prywatne dla usług Azure Automation, Azure Monitor, Azure Key Vault lub Azure Blob Storage.