Manage Azure private endpoints

Os pontos de extremidade privados do Azure têm várias opções para gerenciar sua configuração e implantação.

Você pode determinar GroupId e MemberName valores consultando o recurso de Link Privado do Azure. Você precisa dos valores GroupId e MemberName para configurar um endereço IP estático para um ponto de extremidade privado durante a criação.

Um ponto de extremidade privado tem duas propriedades personalizadas: endereço IP estático e nome da interface de rede. Essas propriedades devem ser definidas quando o ponto de extremidade privado é criado.

With a service provider and consumer deployment of Private Link, an approval process is in place to make the connection.

Determine GroupID and MemberName

During the creation of a private endpoint with Azure PowerShell and the Azure CLI, the GroupId and MemberName values of the private endpoint resource might be needed.

• GroupId is the subresource of the private endpoint.
• MemberName is the unique stamp for the private IP address of the endpoint.

Para obter mais informações sobre subrecursos de ponto de extremidade privado e seus valores, consulte Recurso de link privado.

Para determinar os valores de GroupId e MemberName para o seu recurso de ponto de extremidade privado, use os comandos a seguir. MemberName está contido na propriedade RequiredMembers.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Propriedades personalizadas

A renomeação da interface de rede e a atribuição de endereço IP estático são propriedades personalizadas que você pode definir em um ponto de extremidade privado durante a criação.

Renomeação da interface de rede

Por padrão, quando um ponto de extremidade privado é criado, a interface de rede associada ao ponto de extremidade privado recebe um nome aleatório para sua interface de rede. The network interface must be named when the private endpoint is created. Não há suporte para a renomeação da interface de rede de um ponto de extremidade privado existente.

Use os comandos a seguir ao criar um ponto de extremidade privado para renomear a interface de rede.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Endereço IP estático

Por padrão, quando um ponto de extremidade privado é criado, o endereço IP do ponto de extremidade é atribuído automaticamente. The IP is assigned from the IP range of the virtual network configured for the private endpoint. Uma situação pode surgir quando um endereço IP estático para o ponto de extremidade privado é necessário. O endereço IP estático deve ser atribuído quando o ponto de extremidade privado é criado. A configuração de um endereço IP estático para um ponto de extremidade privado existente não é suportada no momento.

Para obter procedimentos para configurar um endereço IP estático ao criar um ponto de extremidade privado, consulte Criar um ponto de extremidade privado usando o Azure PowerShell e Criar um ponto de extremidade privado usando a CLI do Azure.

Private endpoint connections

O Private Link funciona em um modelo de aprovação em que o consumidor do Private Link pode solicitar uma conexão com o provedor de serviços para consumir o serviço.

O prestador de serviços pode então decidir se permite ou não que o consumidor se ligue. O Private Link permite que os provedores de serviços gerenciem a conexão de ponto final privado em seus recursos.

Há dois métodos de aprovação de conexão que um consumidor de Link Privado pode escolher:

• Automático: se o consumidor de serviço tiver permissões RBAC (controle de acesso baseado em função) do Azure no recurso do provedor de serviços, o consumidor poderá escolher o método de aprovação automática. Quando a solicitação chega ao recurso do provedor de serviços, nenhuma ação é necessária do provedor de serviços e a conexão é aprovada automaticamente.

• Manual: Se o consumidor de serviços não tiver permissões RBAC no recurso do provedor de serviços, poderá escolher o método de aprovação manual. A solicitação de conexão aparece nos recursos do serviço como Pendente. O provedor de serviços tem que aprovar manualmente a solicitação antes que as conexões possam ser estabelecidas.

  Em casos manuais, o consumidor de serviços também pode especificar uma mensagem com a solicitação para fornecer mais contexto ao provedor de serviços. O provedor de serviços tem as seguintes opções para escolher para todas as conexões de ponto de extremidade privadas: Aprovar, Rejeitar e Remover.

A tabela a seguir mostra as várias ações do provedor de serviços e os estados de conexão resultantes para pontos de extremidade privados. O provedor de serviços pode alterar o estado da conexão posteriormente sem a intervenção do consumidor. The action updates the state of the endpoint on the consumer side.

Manage private endpoint connections on Azure PaaS resources

Use os seguintes passos para gerir uma ligação de ponto de extremidade privado no portal do Azure.

1. Inicie sessão no portal Azure.

2. Na caixa de pesquisa na parte superior do portal, digite Link privado. Nos resultados da pesquisa, selecione Link privado.

3. No Centro de Link Privado, selecione Pontos de extremidade privados ou Serviços de link privado.

4. For each of your endpoints, you can view the number of private endpoint connections associated with it. Você pode filtrar os recursos conforme necessário.

5. Select the private endpoint. Nas conexões listadas, selecione a conexão que você deseja gerenciar.

6. Você pode alterar o estado da conexão selecionando entre as opções na parte superior.

Gerencie conexões de ponto de extremidade privadas em um serviço Private Link de propriedade do cliente ou parceiro

Use os seguintes comandos do PowerShell e da CLI do Azure para gerenciar conexões de ponto de extremidade privadas em serviços de parceiros da Microsoft ou serviços de propriedade do cliente.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Próximos passos

• Saiba mais sobre endpoints privados