使用托管专用终结点，通过 Microsoft Fabric 连接到外部源或本地数据源

使用托管专用终结点，可以通过批准的专用链接设置安全地将 Microsoft Fabric 工作负载（如 Spark 或数据管道）连接到 本地 或 自定义托管数据源 。
此方法可确保流量流经Microsoft主干网络而不是公共 Internet，从而维护端到端数据隐私和合规性。

常见用例包括访问：

• SAP、Oracle 数据库、Elasticsearch、非原生 Azure 数据源（如 Confluent Kafka、Elasticsearch 或托管于本地环境中的数据源）等。
• Azure VM 上的数据源
• 在虚拟网络或自管理数据中心中托管的自定义 API 或服务。
• 在不公开公共终结点的情况下保护公司数据存储。

概述

Fabric 托管专用终结点（MPE）允许 Fabric 使用专用链接服务（PLS）与已批准的数据源建立出站连接。
设置涉及三个主要步骤：

1. 数据源所有者或管理员为通过专用 IP 地址在前端部署的资源配置 Azure 私有链接服务（PLS）。
2. Fabric 工作区管理员创建一个托管专用终结点 (MPE)，该终结点引用完全限定域名 (FQDN) 并使用专用链接服务的资源 ID。
3. 数据源所有者或管理员在 Azure 中评审并批准连接请求。

批准后，所有 Fabric 数据工程工作负载（如 Notebook、Spark 作业定义、具体化 Lakeviews、Livy 终结点）都可以安全地连接到已批准的资源。

先决条件

开始之前：

• 具有工作区管理员角色的 Microsoft Fabric 工作区。
• Azure 订阅必须注册 Microsoft.Network 资源提供程序。
• 让数据源或服务在标准负载均衡器后面运行，该负载均衡器可通过专用链接服务访问。 详细了解专用链接服务

步骤 1：[如果负载均衡器没有专用链接服务设置，则可选] 为本地资源创建专用链接服务

若要向 Fabric 公开本地或自定义托管数据源（如 SQL Server），必须先在 Azure 中创建专用链接服务（PLS）。

1. 登录到 Azure 门户。
2. 在搜索栏中，输入 专用链接服务 并选择“ 创建”。
3. 指定：
   • 订阅 和 资源组
   • Region
   • 专用链接服务的名称
4. 在 前端 IP 配置下，关联用于将流量路由到本地部署或虚拟机的负载均衡器。
5. 定义 自动审批订阅 ID ，以自动批准来自受信任 Fabric 租户的连接请求。

步骤 2：使用 Fabric REST API 创建托管专用终结点

专用链接服务准备就绪后，通过调用 托管专用终结点 REST API 在 Fabric 中创建托管专用终结点（MPE）。 当前支持的终结点形状使用路径：

POST https://api.fabric.microsoft.com/v1/workspaces/{workspaceId}/managedPrivateEndpoints

在您目标定位以下任一项时，请使用该选项：

• 专用链接服务（使用targetPrivateLinkResourceId，可选targetSubresourceType），和/或
• 希望 Fabric 在批准后私下解析一个或多个完全限定的域名（targetFQDNs）。

可以使用任何 REST API 客户端（如 Bruno、 Insomnia 或 Postman ）发送请求。

步骤 2.1：获取身份验证令牌

在调用 Fabric REST API 之前，请使用 Azure Active Directory （Entra ID） 凭据获取 持有者令牌 。

可以使用 Azure CLI 执行此作：

az login
az account get-access-token --resource https://api.fabric.microsoft.com

此命令返回包含访问令牌的 JSON 对象。 复制“accessToken”的值以用作授权标头。

步骤 2.2：构造 API 请求

使用以下端点和有效负载结构创建托管专用端点。 根据是绑定到专用链接服务、提供 FQDN 还是同时提供 FQDN 来调整字段。

请求

POST https://api.fabric.microsoft.com/v1/workspaces/{workspaceId}/managedPrivateEndpoints

Headers

正文（针对专用链接服务 + FQDN 的示例）

{
   "name": "onprem-sql-endpoint",
   "targetPrivateLinkResourceId": "/subscriptions/<subId>/resourceGroups/<rg>/providers/Microsoft.Network/privateLinkServices/<plsName>",
   "targetSubresourceType": "sql", 
   "targetFQDNs": ["sqlserver.corp.contoso.com"],
   "requestMessage": "Private connection request from Fabric to on-premises SQL"
}

正文字段参考：

执行步骤：

1. 打开 REST 客户端。
2. 将方法设置为 POST 并粘贴终结点 URL（替换 {workspaceId}）。
3. 使用步骤 2.1 中的持有者令牌添加 Authorization 标头。
4. 粘贴 JSON 正文并调整值。
5. 发送请求。

步骤 2.3：验证连接请求

一个简化的成功响应有效负载示例可能如下：

{
   "id": "f2cbd8d1-23f1-4b9a-9db2-23ad1e7b5129",
   "name": "onprem-sql-endpoint",
   "targetPrivateLinkResourceId": "/subscriptions/<subId>/resourceGroups/<rg>/providers/Microsoft.Network/privateLinkServices/<plsName>",
   "targetFQDNs": ["sqlserver.corp.contoso.com"],
   "targetSubresourceType": "sql",
   "provisioningState": "PendingApproval",
   "createdBy": "user@contoso.com",
   "createdDateTime": "2025-10-14T10:12:37Z"
}

字段名称可以演变;如果缺少所需的字段，请重新检查最新的官方文档。 此时，专用连接请求已发送到目标数据源管理员（例如，Azure 中的专用链接服务的所有者）。 批准连接后，预配状态会更新为“已批准”，你可以开始从 Fabric 安全地访问本地数据。

示例：使用 Bruno 或 Insomnia

还可以直接在 Bruno 或 失眠中创建和测试终结点：

1. 将请求类型设置为 POST。
2. 粘贴 Fabric REST API 终结点。
3. 在 “身份验证”中，选择 持有者令牌，并粘贴之前检索的令牌。
4. 在 正文中，粘贴 JSON 有效负载。
5. 单击“ 发送”。

API 将响应托管专用终结点详细信息和连接状态。

发送请求后，Fabric 将尝试启动专用连接。

网络管理员将在 Azure 门户中看到以下 挂起的连接请求 ：

专用链接服务→专用终结点连接 窗口。

步骤 3：批准专用终结点连接请求

1. 登录到 Azure 门户。
2. 导航到 专用链接服务 资源。
3. 在“网络”部分下选择“专用终结点连接”。
4. 查看来自 Microsoft Fabric 的挂起连接请求。
5. 选择 “批准 ”并提供可选理由。

步骤 4：从 Fabric 笔记本访问本地 SQL Server

批准后，托管的专用终结点将变为活动状态，可以从 Spark 笔记本或数据管道中使用。

使用 PySpark 连接到本地 SQL Server 的示例：

serverName = "sqlserver.corp.contoso.com"
database = "SalesDB"
dbPort = 1433
dbUserName = "<username>"
dbPassword = "<password or Key Vault reference>"

jdbcURL = f"jdbc:sqlserver://{serverName}:{dbPort};database={database}"
connectionProps = {
    "user": dbUserName,
    "password": dbPassword,
    "driver": "com.microsoft.sqlserver.jdbc.SQLServerDriver"
}

df = spark.read.jdbc(url=jdbcURL, table="dbo.Customers", properties=connectionProps)
display(df)

# Write back to your Fabric Lakehouse
df.write.mode("overwrite").format("delta").saveAsTable("Customers")

步骤 5：验证和排查专用连接问题

批准连接后，请务必确认 Fabric 流量以私密方式流动，且未使用公共终结点。

在 Fabric 中验证终结点状态

1. 在 Fabric 工作区中，导航到 “设置”→“网络安全”。
2. 在 “托管专用终结点”下，验证连接 状态 是否显示 “已批准”。
3. 选择终结点名称以查看详细信息，例如：
   • FQDN
   • 连接状态
   • 审批日期
   • 专用链接资源 ID

如果状态显示 “挂起 ”或 “失败”，请检查：

• Azure 管理员已批准链接的专用链接服务中的请求。
• FQDN 的 DNS 解析指向专用终结点 IP 地址。
• 专用链接和 Fabric 区域位于同一 Azure 地理位置中。

验证 DNS 路由

从同一虚拟网络中的 Fabric Notebook 或连接的 VM 运行以下命令：

nslookup sqlserver.corp.contoso.com

确认返回的 IP 地址为 10.x.x.x 或 172.x.x.x.x 专用 IP，而不是公共 IP。 这确认 Fabric 正在通过专用链接路由解析 FQDN。

[!提示] 如果 DNS 仍解析为公共 IP，请更新 Azure 中的专用 DNS 区域，以包含映射到专用终结点的 FQDN 的 A 记录。

常见问题和解决方法

若要维护安全且合规的访问，请：

• 使用 Azure Key Vault 存储凭据和连接机密，而不是硬编码密码。
• 通过仅批准专用链接服务中所需的端点来限制网络暴露。
• 监视 Fabric 审核日志 以记录终结点的创建、审批或删除活动。
• 当从 Spark 工作负载进行连接时，为静态加密启用 客户管理密钥（CMK）。
• 使用 Fabric 的 出站访问保护（OAP）限制出站访问， 以确保工作负荷只能访问批准的专用终结点。
• 定期轮换凭证并定期查看接口审批。

端到端设置：将 Fabric 连接到本地 SQL Server 或任何外部数据源

如果 尚未设置专用链接服务，请按照以下步骤生成整个拓扑，从网络层到 Fabric 集成。

先决条件

• Azure 订阅 - 创建免费帐户。
• 虚拟网络 （VNet） - 在 Azure 门户中创建虚拟网络
• Azure 与本地之间的连接 - 通过 ExpressRoute 或 VPN 网关 ，还可以通过 Azure VM 和专用链接服务使用专用子网模拟本地。

可选选项：使用专用链接服务直接连接（预览版）

如果已知道本地或专用托管资源 的目标 IP 地址 ，则现在可以使用新的 专用链接服务 Direct Connect 功能（目前为 公共预览版）。
此功能允许将专用链接服务 直接连接到可专用路由的 IP 地址，而无需负载均衡器或 IP 转发虚拟机。

何时使用 Direct Connect

如果您需要使用这个选项：

• 你已有数据源的 静态专用 IP 地址 （例如， 10.0.1.50 对于本地数据库或应用程序）。
• 在 Azure 中不需要负载均衡或 NAT 转发。
• 想要简化网络拓扑并减少延迟。

常见方案包括：

• 通过 ExpressRoute 或 VPN 直接连接到本地数据库或服务器。
• 通过专用 IP 访问第三方 SaaS 或网络设备。
• 依赖于基于 IP 的路由而不是 DNS 的旧应用程序。

主要优势

重要注意事项

• 需要至少 2 个 IP 配置 (以 2 的倍数) 以实现高可用性。
• 仅支持静态目标 IP 地址。
• 源专用终结点、专用链接服务和 Fabric 工作区必须位于 同一区域 （尚不支持跨区域）。
• 仅在预览期的选定区域中可用： 美国中北部、美国东部 2、美国中部、美国中南部、美国西部、美国西部 2、美国西部 3、东南亚、澳大利亚东部、西班牙中部。
• 必须在 Azure 订阅中启用该功能标志 Microsoft.Network/AllowPrivateLinkserviceUDR 。

示例：使用 PowerShell 创建专用链接服务 Direct Connect

以下示例创建一个 Private Link Service Direct Connect，以直接连接到目标 IP 地址 10.0.1.100。

# Variables
$resourceGroupName = "rg-pls-directconnect"
$location = "westus"
$vnetName = "pls-vnet"
$subnetName = "pls-subnet"
$plsName = "pls-directconnect"
$destinationIP = "10.0.1.100"

# Create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location

# Create VNet and subnet
$subnet = New-AzVirtualNetworkSubnetConfig -Name $subnetName -AddressPrefix "10.0.1.0/24" -PrivateLinkServiceNetworkPoliciesFlag "Disabled"
$vnet = New-AzVirtualNetwork -Name $vnetName -ResourceGroupName $resourceGroupName -Location $location -AddressPrefix "10.0.0.0/16" -Subnet $subnet

# Create IP configurations (minimum 2)
$subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $vnet -Name $subnetName
$ipConfig1 = @{ Name = "ipconfig1"; PrivateIpAllocationMethod = "Dynamic"; Subnet = $subnet; Primary = $true }
$ipConfig2 = @{ Name = "ipconfig2"; PrivateIpAllocationMethod = "Dynamic"; Subnet = $subnet; Primary = $false }

# Create Private Link Service Direct Connect
New-AzPrivateLinkService `
    -Name $plsName `
    -ResourceGroupName $resourceGroupName `
    -Location $location `
    -IpConfiguration @($ipConfig1, $ipConfig2) `
    -DestinationIPAddress $destinationIP

创建后，可以使用 此新的专用链接服务 ID （/subscriptions/.../providers/Microsoft.Network/privateLinkServices/pls-directconnect）
在 构造托管专用终结点 设置中，如 步骤 2 中所述：使用上面的 Fabric REST API 创建托管专用终结点 。

比较：标准连接与直接连接

摘要：
如果环境已公开 Fabric 需要访问的 静态专用 IP 地址 ，请使用 专用链接服务 Direct Connect（预览版） 简化设置并减少网络开销。
否则，请遵循本文档中已涵盖 的标准专用链接服务 + 负载均衡器 模式。

步骤 1：为资源创建子网

步骤 2：创建标准内部负载均衡器

1. 转到 “创建资源 > 网络 > 负载均衡器”。
2. 配置：
   • 类型： 内部
   • SKU： 标准
   • 子网： fe-subnet
   • IP 分配： 动态
3. 创建后端池、运行状况探测（TCP 22 或 1433）和规则（TCP 1433 → 1433）。

步骤 3：创建后端转发虚拟机

在be-subnet中创建一个或多个轻型 Ubuntu 虚拟机。 在创建过程中，将它们与负载均衡器后端池（myBackendPool）相关联。

预配后，请按照以下步骤启用 IP 转发并将 NAT 规则创建到本地 SQL Server IP（例如 10.0.0.47），

1. 在 VM 上启用 IP 转发。
2. 创建 DNAT 规则，将端口 1433 上的负载均衡器中的流量转发到端口 1433 上的本地 SQL Server IP（例如 10.0.0.47）。
3. 为 NAT 创建 MASQUERADE 规则。

可以在 VM 上执行以下命令：

sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1433 -j DNAT --to-destination 10.0.0.47:1433
sudo iptables -t nat -A POSTROUTING -j MASQUERADE

步骤 4：创建专用链接服务（PLS）

1. 转到 专用链接中心→创建专用链接服务。
2. 在 “出站设置”下：
   • 负载均衡器： 选择内部负载均衡器
   • 前端 IP： LoadBalancerFrontEnd
   • 源 NAT 子网：pls-subnet
3. 保留默认值，然后选择“ 创建”。

此服务现在通过专用链接终结点公开内部 SQL Server。

步骤 5：使用 REST API 连接构造

创建并激活专用链接服务后，返回到上述指南中的步骤 2，在 Fabric 中创建托管专用终结点（MPE）。

步骤 6 - 创建托管专用终结点

使用已在主指南的步骤 2 中记录的 REST API。 在 JSON 正文中，将 targetPrivateLinkResourceId 设置为 PLS 资源 ID，并可选择在 targetFQDNs 中包含将在 Spark 代码中使用的 FQDN。

步骤 7 - 批准和测试

在 PLS 中批准待定的连接（Azure 门户→私有终结点连接）。 然后使用 FQDN 运行 Spark JDBC 读取，以确认专用连接。

ARM 模板示例（可选）

使用下面的模板作为起点部署网络组件。

{
  "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
  "contentVersion": "1.0.0.0",
  "parameters": {
    "subscriptionId": { "type": "string", "defaultValue": "<subscriptionId>" },
    "resourceGroupName": { "type": "string", "defaultValue": "<resourceGroupName>" },
    "location": { "type": "string", "defaultValue": "eastus" },
    "vnetName": { "type": "string", "defaultValue": "fabric-onprem-vnet" }
  },
  "resources": [
    {
      "type": "Microsoft.Network/virtualNetworks",
      "apiVersion": "2023-09-01",
      "name": "[parameters('vnetName')]",
      "location": "[parameters('location')]",
      "properties": {
        "addressSpace": { "addressPrefixes": ["192.168.0.0/16"] },
        "subnets": [
          { "name": "be-subnet", "properties": { "addressPrefix": "192.168.1.0/24" } },
          { "name": "fe-subnet", "properties": { "addressPrefix": "192.168.2.0/24" } },
          { "name": "pls-subnet", "properties": { "addressPrefix": "192.168.3.0/24" } }
        ]
      }
    },
    {
      "type": "Microsoft.Network/loadBalancers",
      "apiVersion": "2023-09-01",
      "name": "myLoadBalancer",
      "location": "[parameters('location')]",
      "sku": { "name": "Standard" },
      "properties": {
        "frontendIPConfigurations": [
          {
            "name": "LoadBalancerFrontEnd",
            "properties": { "subnet": { "id": "[concat(resourceId('Microsoft.Network/virtualNetworks', parameters('vnetName')), '/subnets/fe-subnet')]" } }
          }
        ]
      }
    }
  ]
}

可以扩展此模板以包括 VM 部署和专用链接服务定义。

常见高级模式注释

了解详细信息

• 关于 Fabric 中的托管专用终结点
• 关于 Fabric 中的专用链接
• Fabric 中的托管虚拟网络概述