Private endpoint

Et private endpoint er et netværksinterface med en privat IP-adresse fra et Azure Virtual Network. Interfacet forbinder netværket privat med en bestemt tjeneste eller underressource gennem Azure Private Link.

Klienter bruger normalt fortsat tjenestens fuldt kvalificerede domænenavn (FQDN). DNS skal derfor føre navnet til private endpointets private IP-adresse. Forbindelsen skal være godkendt, før endpointet kan sende trafik til den valgte ressource.

Hvorfor er begrebet vigtigt?

Mange Azure-tjenester har et offentligt endpoint. Et private endpoint giver workloads i virtuelle netværk, peered netværk og korrekt forbundne on-premises-miljøer en privat destination til en bestemt ressource. Det kan mindske eksponeringen mod offentlige netværk og gøre netværksadgang mere præcis.

Løsningen er dog en samlet arkitektur og ikke kun en IP-adresse. Subnetkapacitet, DNS, routing, adgangsgodkendelse, identiteter, tjenestens firewall og indstillingen for offentlig netværksadgang skal fungere sammen.

Typisk misforståelse

Oprettelse af et private endpoint deaktiverer ikke nødvendigvis tjenestens offentlige adgang. Hvis kravet er, at ressourcen kun må nås privat, skal offentlig netværksadgang også deaktiveres eller begrænses med de kontroller, tjenesten understøtter.

Et private endpoint er heller ikke det samme som et service endpoint. Et service endpoint udvider et subnets identitet til en understøttet Azure-tjeneste, som fortsat adresseres via sit offentlige endpoint. Et private endpoint giver derimod en privat IP i kundens virtuelle netværk, som knyttes til en bestemt ressource eller underressource.

Eksempel

En applikation i et Azure Virtual Network skal læse data fra blob-lageret i en storage account. Teamet opretter et private endpoint i et egnet subnet og vælger underressourcen blob. En anbefalet privat DNS-zone sørger for, at storage-kontoens normale navn opløses til endpointets private IP fra de relevante netværk.

Teamet tester både navneopslag, netværkssti og applikationens identitetsbaserede adgang. Derefter deaktiverer det offentlig netværksadgang på storage-kontoen. Hvis applikationen senere også skal bruge Azure Files, kan tjenestens separate file-underressource kræve sit eget private endpoint og sin egen DNS-konfiguration.

Best practice

• Vælg kun de understøttede ressourcer og underressourcer, som klienterne faktisk skal bruge.

• Planlæg subnetkapacitet, IP-adresser, routing og DNS, før endpointet oprettes.

• Brug tjenestens anbefalede private DNS-zoner og en dokumenteret model for peering og hybrid DNS.

• Adskil forbindelsesgodkendelse fra applikationens authentication og authorization; begge dele skal være korrekte.

• Kontrollér offentlig netværksadgang særskilt, og begræns den, hvis arkitekturen kræver privat adgang.

• Test fra både tilladte og ikke-tilladte netværk, overvåg forbindelsesstatus, og håndtér ændringer som kode.