Gestire gli endpoint privati di Azure

Gli endpoint privati di Azure hanno diverse opzioni per la gestione della configurazione e della distribuzione.

È possibile determinare i valori di GroupId e MemberName eseguendo una query sulla risorsa Collegamento privato di Azure. Sono necessari i GroupId valori e MemberName per configurare un indirizzo IP statico per un endpoint privato durante la creazione.

Un endpoint privato ha due proprietà personalizzate: indirizzo IP statico e nome dell'interfaccia di rete. Queste proprietà devono essere impostate quando viene creato l'endpoint privato.

Con un provider di servizi e una distribuzione lato consumer del collegamento privato, è previsto un processo di approvazione per stabilire la connessione.

Determinare GroupID e MemberName

Durante la creazione di un endpoint privato con Azure PowerShell e Azure CLI, potrebbero essere necessari i valori GroupId e MemberName della risorsa endpoint privati.

• GroupId è la sottorisorsa dell'endpoint privato.
• MemberName è il timbro univoco per l'indirizzo IP privato dell'endpoint.

Per altre informazioni sulle sottorisorse dell'endpoint privato e sui relativi valori, vedere Risorsa collegamento privato.

Per determinare i valori di GroupId e MemberName per la risorsa endpoint privato, usare i comandi seguenti. MemberName è contenuto all'interno della RequiredMembers proprietà .

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Proprietà personalizzate

La ridenominazione dell'interfaccia di rete e l'assegnazione di indirizzi IP statici sono proprietà personalizzate che è possibile impostare su un endpoint privato durante la creazione.

Ridenominazione dell'interfaccia di rete

Per impostazione predefinita, quando viene creato un endpoint privato, all'interfaccia di rete associata all'endpoint privato viene assegnato un nome casuale per l'interfaccia di rete. L'interfaccia di rete deve essere denominata quando viene creato l'endpoint privato. La ridenominazione dell'interfaccia di rete di un endpoint privato esistente non è supportata.

Usare i comandi seguenti quando si crea un endpoint privato per rinominare l'interfaccia di rete.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Indirizzo IP statico

Per impostazione predefinita, quando viene creato un endpoint privato, l'indirizzo IP per l'endpoint viene assegnato automaticamente. L'indirizzo IP viene assegnato dall'intervallo IP della rete virtuale configurata per l'endpoint privato. Una situazione può verificarsi quando è necessario un indirizzo IP statico per l'endpoint privato. Quando viene creato l'endpoint privato, è necessario assegnare l'indirizzo IP statico. La configurazione di un indirizzo IP statico per un endpoint privato esistente non è attualmente supportata.

Per le procedure per configurare un indirizzo IP statico quando si crea un endpoint privato, vedere Creare un endpoint privato usando Azure PowerShell e Creare un endpoint privato usando l'interfaccia della riga di comando di Azure.

Connessioni a endpoint privato

Il collegamento privato funziona su un modello di approvazione in cui il consumer di collegamento privato può richiedere una connessione al provider di servizi per l'utilizzo del servizio.

Il provider di servizi può quindi decidere se consentire al consumer di connettersi o meno. Collegamento privato consente ai provider di servizi di gestire la connessione all'endpoint privato nelle proprie risorse.

Esistono due metodi di approvazione della connessione tra cui un consumer di collegamento privato può scegliere:

• Automatico: se il consumer del servizio dispone di autorizzazioni di controllo degli accessi in base al ruolo di Azure per la risorsa del provider di servizi, il consumer può scegliere il metodo di approvazione automatica. Quando la richiesta raggiunge la risorsa del provider di servizi, non viene richiesta alcuna azione dal provider di servizi e la connessione viene approvata automaticamente.

• Manuale: se il consumer del servizio non dispone delle autorizzazioni di controllo degli accessi in base al ruolo nella risorsa del provider di servizi, il consumer può scegliere il metodo di approvazione manuale. La richiesta di connessione viene visualizzata nelle risorse del servizio come In sospeso. Il provider di servizi deve approvare manualmente la richiesta prima di poter stabilire le connessioni.

  Nei casi manuali, il consumer del servizio può anche specificare un messaggio con la richiesta per fornire più contesto al provider di servizi. Il provider di servizi offre le opzioni seguenti tra cui scegliere per tutte le connessioni endpoint private: Approva, Rifiuta e Rimuovi.

La tabella seguente illustra le varie azioni del provider di servizi e gli stati di connessione risultanti per gli endpoint privati. Il provider di servizi può modificare lo stato della connessione in un secondo momento senza l'intervento dell'utente. L'azione aggiorna lo stato dell'endpoint sul lato consumer.

Gestire le connessioni degli endpoint privati nelle risorse PaaS di Azure

Usare la procedura seguente per gestire una connessione endpoint privata nel portale di Azure.

1. Accedi al portale di Azure.

2. Nella casella di ricerca nella parte superiore del portale immettere Collegamento privato. Nei risultati della ricerca selezionare Collegamento privato.

3. In Servizi di rete di base, espandere Collegamento privato nel menu a sinistra e selezionare Endpoint privati o Servizi collegamento privato.

4. Per ciascuno degli endpoint, è possibile visualizzare il numero di connessioni endpoint private associate ad esso. È possibile filtrare le risorse in base alle esigenze.

5. Selezionare l'endpoint privato. Nelle connessioni elencate selezionare la connessione che si vuole gestire.

6. È possibile modificare lo stato della connessione selezionando le opzioni nella parte superiore.

Gestire le connessioni all'endpoint privato su un servizio Private Link di proprietà del cliente o del partner

Usare i seguenti comandi di PowerShell e Azure CLI per gestire le connessioni di endpoint privato nei servizi partner di Microsoft o nei servizi di proprietà del cliente.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Passaggi successivi

• Altre informazioni sugli endpoint privati