Segurança da rede

Este artigo descreve os requisitos de rede e as opções para servidores habilitados para Azure Arc.

Redes gerais

Os servidores habilitados para Azure Arc são uma oferta de software como serviço com uma combinação de pontos de extremidade globais e regionais compartilhados por todos os clientes. Toda a comunicação de rede do agente Azure Connected Machine é de saída para o Azure. O Azure nunca chegará "a" sua rede para gerenciar suas máquinas. Essas conexões são sempre criptografadas usando certificados TLS. A lista de pontos de extremidade e endereços IP acessados pelo agente está documentada nos requisitos de rede.

As extensões instaladas podem exigir pontos de extremidade extras não incluídos nos requisitos de rede do Azure Arc. Consulte a documentação da extensão para obter mais informações sobre os requisitos de rede para essa solução.

Se sua organização usa inspeção TLS, o agente de Máquina Conectada do Azure não usa fixação de certificado e continuará a funcionar, desde que sua máquina confie no certificado apresentado pelo serviço de inspeção TLS. Algumas extensões do Azure Arc precisam ser excluídas da inspeção TLS, já que utilizam fixação de certificados. Consulte a documentação para obter informações sobre quaisquer extensões implantadas para determinar se elas oferecem suporte à inspeção TLS.

Pontos finais privados

Os endpoints privados são uma tecnologia de rede opcional do Azure que permite que o tráfego de rede seja enviado pelo ExpressRoute ou por um VPN site-a-site, controlando de forma mais granular quais máquinas podem usar o Azure Arc. Com endpoints privados, pode usar endereços IP privados no espaço de endereço de rede da organização para aceder aos serviços de nuvem do Azure Arc. Além disso, apenas os servidores que você autoriza podem enviar dados por meio desses pontos de extremidade, o que protege contra o uso não autorizado do agente do Azure Connected Machine em sua rede.

É importante observar que nem todos os pontos de extremidade e nem todos os cenários são suportados com pontos de extremidade privados. Você ainda precisará fazer exceções de firewall para alguns endpoints, como o Microsoft Entra ID, que não oferece uma solução de endpoint privado. Quaisquer extensões instaladas podem exigir outros pontos de extremidade privados (se suportados) ou acesso aos pontos de extremidade públicos para seus serviços. Além disso, não pode utilizar SSH ou Windows Admin Center para aceder ao servidor através de um ponto de extremidade privado.

Independentemente de você usar pontos de extremidade privados ou públicos, os dados transferidos entre o agente do Azure Connected Machine e o Azure são sempre criptografados. Você sempre pode começar com pontos de extremidade públicos e depois mudar para pontos de extremidade privados (ou vice-versa) à medida que as necessidades da sua empresa mudam.