Sdílet prostřednictvím

Zabezpečený přístup k Azure Red Hat OpenShiftu pomocí služby Azure Front Door

  • Článek

Tento článek vysvětluje, jak pomocí služby Azure Front Door Premium zabezpečit přístup k Azure Red Hat OpenShiftu.

Předpoklady

Jsou vyžadovány následující požadavky:

  • Máte existující cluster Azure Red Hat OpenShift. Podle tohoto průvodce vytvořte privátní cluster Azure Red Hat OpenShift.

  • Cluster je nakonfigurovaný s viditelností privátního příchozího přenosu dat.

  • Používá se například vlastní název domény:

    example.com

Poznámka:

Počáteční stav nemá nakonfigurovaný DNS. Z clusteru Azure Red Hat OpenShift nejsou externě zpřístupněny žádné aplikace.

Tato část vysvětluje, jak vytvořit službu Azure Private Link. Služba Azure Private Link je odkazem na vlastní službu, která využívá Službu Azure Private Link.

Vaše služba, která běží za Službou Azure Standard Load Balancer, může být povolená pro přístup k privátnímu propojení, aby k ní uživatelé ve vaší službě měli privátní přístup ze svých vlastních virtuálních sítí. Vaši zákazníci můžou ve své virtuální síti vytvořit privátní koncový bod a namapovat ho na tuto službu.

Další informace o službě Azure Private Link a o tom, jak se používá, najdete ve službě Azure Private Link.

Vytvořte AzurePrivateLinkSubnet. Tato podsíť zahrnuje masku sítě, která umožňuje viditelnost podsítě do řídicí roviny a pracovních uzlů clusteru Azure. Nelegujte tuto novou podsíť na žádné služby ani nenakonfigurujte žádné koncové body služby.

Pokud je například virtuální síť 10.10.0.0/16 a:

  • Existující podsíť řídicí roviny Azure Red Hat OpenShift = 10.10.0.0/24
  • Existující podsíť pracovního procesu Azure Red Hat OpenShift = 10.10.1.0/24
  • Nová podsíť AzurePrivateLinkSubnet = 10.10.2.0/24

Vytvořte novou službu Private Link ve službě Azure Private Link, jak je vysvětleno v následujících krocích:

  1. Na kartě Základy nakonfigurujte následující možnosti:

    • Podrobnosti projektu
      • Vyberte své předplatné Azure.
      • Vyberte skupinu prostředků, ve které byl nasazen cluster Azure Red Hat OpenShift.
    • Podrobnosti o instanci
      • Zadejte název služby Azure Private Link, jak je znázorněno v následujícím příkladu: example-com-private-link.
      • Vyberte oblast pro privátní propojení.

  2. Na kartě Odchozí Nastavení:

    • Nastavte Load Balancer na interní nástroj pro vyrovnávání zatížení clusteru, pro který povolujete externí přístup. Volby se vyplní v rozevíracím seznamu.

    • Nastavte ip adresu front-endu Load Balanceru na IP adresu kontroleru příchozího přenosu dat Azure Red Hat OpenShiftu, který obvykle končí na 0,254. Pokud si nejste jistí, použijte následující příkaz.

      az aro show -n <cluster-name> -g <resource-group> -o tsv --query ingressProfiles[].ip

    • Zdrojová podsíť NAT by měla být Podsíť AzurePrivateLinkSubnet, kterou jste vytvořili.

    • Ve odchozích Nastavení by se neměly měnit žádné položky.

  3. Na kartě Zabezpečení přístupu nejsou potřeba žádné změny.

    • V Kdo můžete požádat o přístup k vaší službě? Výzva vyberte Komukoli s vaším aliasem.
    • Nepřidávejte žádná předplatná pro automatické schvalování.

  4. Na kartě Značky vyberte Zkontrolovat a vytvořit.

  5. Výběrem možnosti Vytvořit vytvořte službu Azure Private Link a počkejte na dokončení procesu.

  6. Po dokončení nasazení v části Další kroky vyberte Přejít do skupiny prostředků.

Na webu Azure Portal zadejte službu Azure Private Link, která byla nasazena. Zachovejte alias vygenerovaný pro službu Azure Private Link. Použije se později.

Registrace domény v Azure DNS

Tato část vysvětluje, jak zaregistrovat doménu v Azure DNS.

  1. Vytvořte globální zónu Azure DNS pro example.com.

  2. Vytvořte globální zónu Azure DNS pro apps.example.com.

  3. Všimněte si čtyř názvových serverů, které jsou k dispozici v Azure DNS pro apps.example.com.

  4. Vytvořte novou sadu záznamů NS v zóně example.com, která odkazuje na aplikace , a zadejte čtyři názvové servery, které byly přítomné při vytvoření zóny aplikací .

Vytvoření nové služby Azure Front Door Premium

Vytvoření nové služby Azure Front Door Premium:

  1. V nabídce Microsoft Azure Compare vyberte Azure Front Door a pak vyberte Pokračovat a vytvořte Front Door.

  2. Na stránce Vytvořit profil služby Front Door ve skupině prostředků předplatného>vyberte skupinu prostředků, ve které byl cluster Azure Red Hat OpenShift nasazený pro hostování prostředku Azure Front Door Premium.

  3. Službu Azure Front Door Premium pojmenujte odpovídajícím způsobem. Do pole Název zadejte například následující název:

    example-com-frontdoor

  4. Vyberte úroveň Premium. Úroveň Premium je jedinou volbou, která podporuje Azure Private Link.

  5. Jako název koncového bodu zvolte název koncového bodu, který je vhodný pro Azure Front Door.

    Pro každou nasazenou aplikaci se v Azure DNS vytvoří záznam CNAME, který bude odkazovat na tento název hostitele. Proto je důležité zvolit název, který je nezávislý na aplikacích. Pro zabezpečení by název neměl navrhovat aplikace ani architekturu, které jste nasadili, například example01.

    Název, který zvolíte, se předsadí do domény .z01.azurefd.net .

  6. Jako typ zdroje vyberte Vlastní.

  7. Jako název hostitele zdroje zadejte následující zástupný symbol:

    changeme.com

    Tento zástupný symbol bude později odstraněn.

    V této fázi nepovolujte službu Azure Private Link, ukládání do mezipaměti ani zásady firewallu webových aplikací (WAF).

  8. Výběrem možnosti Zkontrolovat a vytvořit vytvořte prostředek Azure Front Door Premium a pak počkejte, až se proces dokončí.

Počáteční konfigurace služby Azure Front Door Premium

Konfigurace služby Azure Front Door Premium:

  1. Na webu Azure Portal zadejte službu Azure Front Door Premium, která byla nasazena.

  2. V okně Endpoint Manageru upravte koncový bod výběrem možnosti Upravit koncový bod.

  3. Odstraňte výchozí trasu, která byla vytvořena jako výchozí trasa.

  4. Zavřete okno Endpoint Manageru.

  5. V okně Skupiny původu odstraňte výchozí skupinu původu s názvem default-origin-group.

Zveřejnění trasy aplikace v Azure Red Hat OpenShiftu

Azure Red Hat OpenShift musí být nakonfigurovaný tak, aby obsluhoval aplikaci se stejným názvem hostitele, jaký bude azure Front Door vystavit externě (*.apps.example.com). V našem příkladu zveřejníme aplikaci Reservations s následujícím názvem hostitele:

reservations.apps.example.com

Vytvořte také zabezpečenou trasu v Azure Red Hat OpenShiftu, která zveřejňuje název hostitele.

Konfigurace Azure DNS

Konfigurace Azure DNS:

  1. Zadejte dříve vytvořenou zónu DNS veřejných aplikací .

  2. Vytvořte novou sadu záznamů CNAME s názvem rezervace. Tato sada záznamů CNAME je aliasem pro náš ukázkový koncový bod služby Azure Front Door:

    example01.z01.azurefd.net

Konfigurace služby Azure Front Door Premium

Následující postup vysvětluje, jak nakonfigurovat Azure Front Door Premium.

  1. Na webu Azure Portal zadejte službu Azure Front Door Premium, kterou jste vytvořili dříve:

    example-com-frontdoor

V okně Domény:

  1. Vzhledem k tomu, že jsou všechny servery DNS hostované v Azure, ponechte správu DNS nastavenou na Spravované DNS Azure.

  2. Vyberte ukázku domény:

    apps.example.com

  3. V našem příkladu vyberte CNAME:

    reservations.apps.example.com

  4. Použijte výchozí hodnoty pro https a minimální verzi protokolu TLS.

  5. Vyberte Přidat.

  6. Když se statistika ověření změní na Čekající, vyberte Čeká na vyřízení.

  7. Pokud chcete ověřit vlastnictví zóny DNS, jako stav záznamu DNS vyberte Přidat.

  8. Vyberte Zavřít.

  9. Pokračujte výběrem možnosti Aktualizovat, dokud se stav ověření domény nezmění na Schváleno a změny přidružení koncového bodu na Nepřidruženo.

V okně Skupiny původu:

  1. Vyberte Přidat.

  2. Pojmenujte svoji skupinu původu odpovídajícím názvem, například rezervace-aplikace.

  3. Vyberte Přidat zdroj.

  4. Zadejte název původu, například ARO-Cluster-1.

  5. Zvolte typ původu vlastního typu.

  6. Zadejte plně kvalifikovaný název hostitele (FQDN), který byl zpřístupněný v clusteru Azure Red Hat OpenShift, například:

    reservations.apps.example.com

  7. Povolte službu Private Link.

  8. Zadejte alias získaný ze služby Azure Private Link.

  9. Výběrem možnosti Přidat se vraťte do okna pro vytvoření původní skupiny.

  10. Výběrem možnosti Přidat přidejte skupinu původu a vraťte se na web Azure Portal.

Pokud chcete udělit schválení příklad-com-private-link, což je služba Azure Private Link , kterou jste vytvořili dříve, proveďte následující kroky.

  1. Na kartě Připojení privátního koncového bodu zaškrtněte políčko, které teď existuje z prostředku popsaného jako z AFD.

  2. Vyberte Schválit a pak výběrem možnosti Ano ověřte schválení.

Dokončení konfigurace Azure Front Door Premium

Následující kroky vysvětlují, jak dokončit konfiguraci služby Azure Front Door Premium.

  1. Na webu Azure Portal zadejte službu Azure Front Door Premium, kterou jste vytvořili dříve:

    example-com-frontdoor

  2. V okně Endpoint Manageru vyberte Upravit koncový bod a upravte koncový bod.

  3. Vyberte +Přidat v části Trasy.

  4. Zadejte vhodný název trasy, například Reservations-App-Route-Config.

  5. V části Domény pak v části Dostupné ověřené domény vyberte plně kvalifikovaný název domény, například:

    reservations.apps.example.com

  6. Pokud chcete přesměrovat provoz HTTP tak, aby používal PROTOKOL HTTPS, ponechte políčko Přesměrovat zaškrtnuté.

  7. V části Skupina Původ vyberte Reservations-App( Skupina původu), kterou jste vytvořili dříve.

  8. Pokud je to vhodné, můžete ukládání do mezipaměti povolit.

  9. Vyberte Přidat a vytvořte trasu. Po nakonfigurování trasy správce koncových bodů naplní podokna skupiny Domény a původu dalšími prvky vytvořenými pro tuto aplikaci.

Vzhledem k tomu, že Azure Front Door je globální služba, může nasazení aplikace trvat až 30 minut. Během této doby se můžete rozhodnout vytvořit WAF pro vaši aplikaci. Když vaše aplikace přejde do provozu, bude k ní možné získat přístup pomocí adresy URL použité v tomto příkladu:

https://reservations.apps.example.com

Další kroky

Vytvořte firewall webových aplikací Azure ve službě Azure Front Door pomocí webu Azure Portal:

Kurz: Vytvoření zásad firewallu webových aplikací ve službě Azure Front Door pomocí webu Azure Portal