Visão geral das marcas de serviço do Azure para segurança de rede virtual

Uma marca de serviço representa um grupo de prefixos de endereço IP de um determinado serviço do Azure. A Microsoft gerencia os prefixos de endereço englobados pela marca de serviço e atualiza automaticamente a marca de serviço em caso de alteração de endereços, minimizando a complexidade de atualizações frequentes das regras de segurança de rede.

As marcas de serviço simplificam a configuração de segurança de rede no Azure:

• Eliminando a necessidade de rastrear e atualizar manualmente endereços IP para serviços do Azure
• Fornecendo atualizações automáticas quando os intervalos de IP do serviço do Azure são alterados
• Reduzindo a complexidade do gerenciamento de regras de segurança
• Habilitando o controle granular sobre o tráfego de rede de e para os serviços do Azure

Você pode usar marcas de serviço para definir controles de acesso à rede em grupos de segurança de rede, Firewall do Azure e rotas definidas pelo usuário. Use marcas de serviço em vez de endereços IP específicos ao criar regras e rotas de segurança.

Como funcionam as marcas de serviço

Ao especificar um nome de marca de serviço (como ApiManagement) no campo de origem ou destino apropriado de uma regra de segurança, você permite ou nega o tráfego para o serviço correspondente. A marca de serviço inclui automaticamente todos os intervalos de endereços IP atuais e futuros usados por esse serviço.

Você poderá rotear o tráfego destinado a qualquer um dos prefixos encapsulados pela marca de serviço para um tipo de próximo salto desejado. Especifique o nome da marca de serviço no prefixo de endereço de uma rota.

Casos de uso comuns

As marcas de serviço ajudam você a:

• Obter isolamento de rede: proteger os recursos do Azure da Internet geral ao acessar serviços do Azure que têm pontos de extremidade públicos
• Simplificar regras de segurança: criar regras sem gerenciar endereços IP individuais
• Garantir atualizações automáticas: mantenha-se atualizado com os intervalos de IP do serviço do Azure sem intervenção manual

Por exemplo, você pode criar regras de grupo de segurança de rede de entrada/saída que:

• Negar tráfego de/para a Internet
• Permitir o tráfego de/para o AzureCloud ou outras marcas de serviço disponíveis de serviços específicos do Azure

Marcas de serviço disponíveis

A tabela a seguir inclui todas as marcas de serviço disponíveis para uso nas regras do grupo de segurança de rede .

As colunas indicam se a marca:

• É adequada para regras que abrangem o tráfego de entrada ou de saída.
• Dá suporte a um escopo regional.
• É utilizável nas regras do Firewall do Azure como uma regra de destino somente para tráfego de entrada ou de saída.

Por padrão, as marcas de serviço refletem os intervalos para toda a nuvem. Algumas marcas de serviço também permitem um controle mais granular ao restringir os intervalos de IP correspondentes a uma região especificada. Por exemplo, a tag de serviço Storage representa o Armazenamento do Azure para toda a nuvem, mas Storage.WestUS restringe o alcance apenas para os intervalos de endereços IP de armazenamento da região Oeste dos EUA. A tabela a seguir indica se cada marca de serviço oferece suporte a esse escopo regional e a direção listada para cada marca é uma recomendação. Por exemplo, a tag AzureCloud pode ser usada para permitir tráfego de entrada. Na maioria dos cenários, não recomendamos permitir o tráfego de todos os IPs do Azure, pois os IPs usados ​​por outros clientes do Azure são incluídos como parte da marca de serviço.

Tags sem suporte para rotas definidas pelo usuário (UDR)

A lista a seguir de tags não é suportada para uso com rotas definidas pelo usuário (UDR).

• AzurePlatformDNS
• AzurePlatformIMDS
• AzurePlatformLKM
• VirtualNetwork
• Balanceador de Carga do Azure
• Internet

Marcas de serviço locais

Você pode obter as informações da marca de serviço e dos intervalos atuais para incluir como parte das configurações de firewall local. Essas informações estão na lista pontual atual dos intervalos de IP que correspondem a cada marca de serviço. Você deve obter as informações programaticamente ou por meio de um download de arquivo JSON, conforme descrito nas seções a seguir.

Usar a API de Descoberta de Marca de Serviço

Você pode recuperar de forma programática a lista atual de marcas de serviço com os detalhes dos intervalos de endereços IP:

• REST
• Azure PowerShell
• Azure CLI

Por exemplo, para recuperar todos os prefixos para o Tag de Serviço de Armazenamento, você pode usar os seguintes cmdlets do PowerShell:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Descubra marcas de serviço usando arquivos JSON para download

Você pode baixar arquivos JSON que contêm a lista atual de marcas de serviço com detalhes de intervalos de endereços IP. Essas listas são atualizadas e publicadas semanalmente. Os locais de cada nuvem são.

• Azure Público
• Governo dos EUA para Azure
• Microsoft Azure operado pela 21Vianet
• Azure Alemanha

Os intervalos de endereços IP nesses arquivos estão na notação CIDR.

As seguintes tags AzureCloud não têm nomes regionais formatados de acordo com o esquema normal.

• AzureCloud.centralfrance (FranceCentral)
• AzureCloud.southfrance (FranceSouth)
• AzureCloud.germanywc (Alemanha Oeste Central)
• AzureCloud.germanyn (GermanyNorth)
• AzureCloud.norwaye (Norway East)
• AzureCloud.norwayw (NorwayWest)
• AzureCloud.switzerlandn (SwitzerlandNorth)
• AzureCloud.switzerlandw (SwitzerlandWest)
• AzureCloud.usstagee (EastUSSTG)
• AzureCloud.usstagec (SouthCentralUSSTG)
• AzureCloud.brazilse (BrazilSoutheast)

Próximas etapas

• Saiba como criar um grupo de segurança de rede.