Limitare l'importazione e l'esportazione di dischi gestiti con collegamenti privati

Si applica a: ✔️ macchine virtuali Linux ✔️ macchine virtuali Windows ✔️ set di scalabilità flessibili

Usa endpoint privati per limitare l'importazione e l'esportazione di dischi gestiti. Accedere in modo sicuro ai dati tramite collegamento privato dai client nella rete virtuale Azure. L'endpoint privato utilizza un indirizzo IP dallo spazio di indirizzi della tua rete virtuale per il servizio dischi gestiti. Il traffico tra i client nella rete virtuale e i dischi gestiti rimane nella rete virtuale e un collegamento privato nella rete backbone Microsoft, riducendo così l'esposizione alla rete Internet pubblica.

Per usare i collegamenti privati per l'importazione o l'esportazione di dischi gestiti, creare una risorsa di accesso al disco e collegarla a una rete virtuale nella stessa sottoscrizione creando un endpoint privato. Associare quindi un disco o uno snapshot a una risorsa di accesso al disco. Infine, impostare i criteri di accesso alla rete del disco o dello snapshot su AllowPrivate per limitare l'accesso alla propria rete virtuale.

Impostare i criteri di accesso alla rete su DenyAll per impedire a chiunque di esportare dati da un disco o uno snapshot. I criteri di accesso alla rete predefiniti sono AllowAll.

Prerequisiti

Prima di iniziare, installare il modulo interfaccia della riga di comando di Azure o Azure PowerShell più recente.

Limitazioni

  • Non è possibile importare o esportare più di 100 dischi o snapshot contemporaneamente con la stessa risorsa di accesso al disco
  • Non è possibile caricare in un disco con una risorsa di accesso al disco e un set di crittografia del disco
  • Oltre alle destinazioni di scalabilità che si applicano ai singoli dischi, le risorse di accesso al disco hanno più destinazioni di scalabilità incentrate sull'ingresso/uscita dei dati. Questi limiti si applicano cumulativamente a tutti i dischi associati a una risorsa di accesso al disco. Per informazioni dettagliate, vedere qui
  • La risorsa di accesso al disco deve trovarsi nella stessa area e nella stessa sottoscrizione del disco a cui è associata

Accedere e impostare le variabili

Scegliere una scheda per usare interfaccia della riga di comando di Azure o Azure PowerShell.

subscriptionId=yourSubscriptionId
resourceGroupName=yourResourceGroupName
region=northcentralus
diskAccessName=yourDiskAccessForPrivateLinks
vnetName=yourVNETForPrivateLinks
subnetName=yourSubnetForPrivateLinks
privateEndPointName=yourPrivateLinkForSecureMDExportImport
privateEndPointConnectionName=yourPrivateLinkConnection
privateDnsZoneName=privatelink.blob.core.windows.net
privateDnsZoneLinkName=yourDNSLink
privateDnsZoneGroupName=yourZoneGroup

# The name of an existing disk that is the source of the snapshot.
sourceDiskName=yourSourceDiskForSnapshot

# The name of the new snapshot secured with Private Links.
snapshotNameSecuredWithPL=yourSnapshotNameSecuredWithPL

az login
az account set --subscription $subscriptionId

Creare una risorsa di accesso al disco

az disk-access create -n $diskAccessName -g $resourceGroupName -l $region

diskAccessId=$(az disk-access show -n $diskAccessName -g $resourceGroupName --query [id] -o tsv)

Creare una rete virtuale

I criteri di rete, ad esempio i gruppi di sicurezza di rete ,non sono supportati per gli endpoint privati. Per distribuire un endpoint privato in una subnet, disabilitare i criteri di rete degli endpoint privati in tale subnet.

az network vnet create --resource-group $resourceGroupName \
    --name $vnetName \
    --subnet-name $subnetName

az network vnet subnet update --resource-group $resourceGroupName \
    --name $subnetName \
    --vnet-name $vnetName \
    --private-endpoint-network-policies Disabled

Creare un endpoint privato per la risorsa di accesso al disco

az network private-endpoint create --resource-group $resourceGroupName \
    --name $privateEndPointName \
    --vnet-name $vnetName \
    --subnet $subnetName \
    --private-connection-resource-id $diskAccessId \
    --group-ids disks \
    --connection-name $privateEndPointConnectionName

Configurare la zona DNS privato

Creare una zona DNS privata per il dominio BLOB di archiviazione, creare un collegamento di rete virtuale e quindi creare un gruppo di zone DNS che associa l'endpoint privato alla zona DNS privata.

az network private-dns zone create --resource-group $resourceGroupName \
    --name $privateDnsZoneName

az network private-dns link vnet create --resource-group $resourceGroupName \
    --zone-name $privateDnsZoneName \
    --name $privateDnsZoneLinkName \
    --virtual-network $vnetName \
    --registration-enabled false

az network private-endpoint dns-zone-group create \
   --resource-group $resourceGroupName \
   --endpoint-name $privateEndPointName \
   --name $privateDnsZoneGroupName \
   --private-dns-zone $privateDnsZoneName \
   --zone-name disks

# These variables are specific to this step.
diskName=yourDiskName
diskSkuName=Standard_LRS
diskSizeGB=128

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az disk create -n $diskName \
    -g $resourceGroupName \
    -l $region \
    --size-gb $diskSizeGB \
    --sku $diskSkuName \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

# This step reuses variables defined in the first CLI sample.

diskId=$(az disk show -n $sourceDiskName -g $resourceGroupName --query [id] -o tsv)

diskAccessId=$(az resource show -n $diskAccessName -g $resourceGroupName --namespace Microsoft.Compute --resource-type diskAccesses --query [id] -o tsv)

az snapshot create -n $snapshotNameSecuredWithPL \
    -g $resourceGroupName \
    -l $region \
    --source $diskId \
    --network-access-policy AllowPrivate \
    --disk-access $diskAccessId

Passaggi successivi

  • Last updated on