Planejar e implementar pontos de extremidade privados

Um ponto de extremidade privado é uma adaptador de rede que usa um endereço IP privado de sua rede virtual. Essa interface de rede conecta você de forma privada e segura a um serviço da plataforma do Link Privado do Azure. Ao habilitar um ponto de extremidade privado, você está trazendo o serviço para sua rede virtual.

O serviço pode ser um serviço do Azure, como:

• Armazenamento do Microsoft Azure
  
• Azure Cosmos DB
• Banco de Dados SQL do Azure
• Seu próprio serviço, usando o serviço do Link Privado.

Propriedades do ponto de extremidade privado

Um ponto de extremidade privado especifica as seguintes propriedades:

Ao criar pontos de extremidade privados, considere o seguinte:

• Os pontos de extremidade privados habilitam a conectividade entre os clientes do(s)/da(s) mesmo(s)/mesma(s):

  • Rede virtual
    
  • Redes virtuais emparelhadas regionalmente
  • Redes virtuais emparelhadas mundialmente
  • Ambientes locais que usam VPN ou Express Route
  • Serviços que são alimentados pelo Link Privado

• As conexões de rede podem ser iniciadas somente por clientes que estão se conectando ao ponto de extremidade privado. Os provedores de serviços não têm a configuração de roteamento para criar conexões nos clientes do serviço. As conexões só podem ser estabelecidas em uma única direção.

• Um adaptador de rede somente leitura é criado automaticamente para o ciclo de vida do ponto de extremidade privado. A interface recebe é atribuída com um endereço IP privado dinâmico da sub-rede que mapeia o recurso do link privado. O valor do endereço IP privado permanece inalterado durante todo o ciclo de vida do ponto de extremidade privado.
  

• O ponto de extremidade privado deve ser implantado na mesma região e assinatura que a rede virtual.
  

• O recurso do link privado pode ser implantado em uma região diferente daquela da rede virtual e do ponto de extremidade privado.
  

• Vários pontos de extremidade privados podem ser criados com o mesmo recurso do link privado. Para uma única rede que usa uma configuração de servidor DNS comum, a prática recomendada é usar um único ponto de extremidade privado para um recurso do link privado especificado. Use esta prática para evitar entradas duplicadas ou conflitos na resolução de DNS.
  

• Vários pontos de extremidade privados podem ser criados na mesma sub-rede ou em sub-redes diferentes na mesma rede virtual. Há limites para o número de pontos de extremidade privados que você pode criar em uma assinatura.
  

• A assinatura que contém o recurso de link privado precisa ser registrada no provedor de recursos de rede da Microsoft. A assinatura que contém o ponto de extremidade privado também precisa ser registrada no provedor de recursos de rede da Microsoft.
  

Segurança de rede dos pontos de extremidade privados

Quando você usa pontos de extremidade privados, o tráfego é protegido para um recurso do link privado. A plataforma valida as conexões de rede, permitindo apenas aquelas que alcançam o recurso de link privado especificado. Para acessar mais sub-recursos dentro do mesmo serviço do Azure, são necessários mais pontos de extremidade privados com os destinos correspondentes. No caso do Armazenamento do Microsoft Azure, por exemplo, você precisaria de pontos de extremidade privados separados para acessar os sub-recursos arquivo e blob.

Os pontos de extremidade privados fornecem um endereço IP acessível de forma privada para o serviço do Azure, mas não necessariamente restringem o acesso à rede pública a ele. No entanto, todos os outros serviços do Azure exigem controles de acesso adicionais. Esses controles fornecem uma camada de segurança de rede extra para seus recursos, fornecendo proteção que ajuda a impedir o acesso ao serviço do Azure associado ao recurso de link privado.

Os pontos de extremidade privados dão suporte a políticas de rede. As políticas de rede habilitam o suporte para NSG (grupos de segurança de rede), UDR (rotas definidas pelo usuário) e ASG (grupos de segurança de aplicativo).

Em uma conexão de ponto de extremidade privado, um proprietário de recurso de link privado pode:

• Examine todos os detalhes da conexão de ponto de extremidade privado.
  
• Aprovar uma conexão de ponto de extremidade privado. O ponto de extremidade privado correspondente está habilitado para enviar tráfego para o recurso de link privado.
• Rejeitar uma conexão de ponto de extremidade privado. O ponto de extremidade privado correspondente é atualizado para refletir o status.
• Exclua uma conexão de ponto de extremidade privado em qualquer estado. O ponto de extremidade privado correspondente é atualizado com um estado desconectado para refletir a ação. O proprietário do ponto de extremidade privado pode excluir apenas o recurso neste momento.

Acesso a um recurso de link privado usando o fluxo de trabalho de aprovação

Você pode se conectar a um recurso de link privado usando os seguintes métodos de aprovação de conexão:

Aprovar automaticamente: use esse método quando tiver ou tiver permissões para o recurso de link privado específico. As permissões necessárias são baseadas no tipo de recurso de link privado no seguinte formato:

Microsoft.<Provider>/<resource_type>/privateEndpointConnectionsApproval/action

Solicitação manual: use esse método quando você não tiver as permissões necessárias e quiser solicitar acesso. Um fluxo de trabalho de aprovação é iniciado. O ponto de extremidade privado e as conexões de ponto de extremidade privado posteriores são criados no Estado Pendente. O proprietário do recurso de link privado é responsável por aprovar a conexão. Depois de aprovado, o ponto de extremidade privado é habilitado para enviar tráfego normalmente, conforme mostrado no seguinte diagrama de fluxo de trabalho de aprovação:

Em uma conexão de ponto de extremidade privado, um proprietário de recurso de link privado pode:

• Examine todos os detalhes da conexão de ponto de extremidade privado.
  
• Aprovar uma conexão de ponto de extremidade privado. O ponto de extremidade privado correspondente está habilitado para enviar tráfego para o recurso de link privado.
• Rejeitar uma conexão de ponto de extremidade privado. O ponto de extremidade privado correspondente é atualizado para refletir o status.
• Exclua uma conexão de ponto de extremidade privado em qualquer estado. O ponto de extremidade privado correspondente é atualizado com um estado desconectado para refletir a ação. O proprietário do ponto de extremidade privado pode excluir apenas o recurso neste momento.

Conectar usando um alias

Um alias é um moniker exclusivo gerado quando um proprietário de serviço cria um serviço de link privado por trás de um balanceador de carga padrão. Os proprietários de serviços podem compartilhar esse alias offline com os consumidores do seu serviço.

Os consumidores podem solicitar uma conexão a um serviço de link privado usando o Uniform Resource Identifier (URI) do recurso ou o alias. Para se conectar usando o alias, crie um ponto de extremidade privado usando o método manual de aprovação de conexão. Para usar o método de aprovação de conexão manual, defina o parâmetro de solicitação manual como True durante o fluxo de criação do ponto de extremidade privado.

Configuração de DNS

As configurações de DNS que você usa para se conectar a um recurso de link privado são importantes. Os serviços existentes do Azure podem já ter uma configuração de DNS que você pode usar quando estiver se conectando por um ponto de extremidade público. Para se conectar ao mesmo serviço por ponto de extremidade privado, são necessárias configurações DNS separadas, muitas vezes configuradas por meio de zonas DNS privadas. Verifique se as configurações de DNS estão corretas quando você usa o FQDN (nome de domínio totalmente qualificado) para a conexão. As configurações devem ser resolvidas para o endereço IP privado do ponto de extremidade privado.

A interface de rede associada ao ponto de extremidade privado contém as informações necessárias para configurar o DNS. As informações incluem o FQDN e o endereço IP privado para um recurso de link privado.

Limitações

As informações a seguir listam as limitações conhecidas para o uso de pontos de extremidade privados:

Endereço IP estático

Grupo de segurança de rede

Mais considerações do NSG

• O tráfego de saída negado de um ponto de extremidade privado não é um cenário válido, pois o provedor de serviços não pode originar o tráfego.

• Os serviços a seguir podem exigir que todas as portas de destino sejam abertas ao usar um ponto de extremidade privado e adicionar filtros de segurança NSG:

  • Azure Cosmos DB
    

UDR

Grupo de segurança do aplicativo