Wat is een privé-eindpunt?
Een privé-eindpunt is een netwerkinterface die gebruikmaakt van een privé-IP-adres van uw virtuele netwerk. Deze netwerkinterface maakt privé en op een veilige manier verbinding met een service die door Azure Private Link mogelijk wordt gemaakt. Door een privé-eindpunt in te schakelen, brengt u de service naar uw virtuele netwerk.
De service kan een Azure-service zijn, zoals:
- Azure Storage
- Azure Cosmos DB
- Azure SQL-database
- Uw eigen service met behulp van de Private Link-service.
Eigenschappen van privé-eindpunt
Een privé-eindpunt geeft de volgende eigenschappen op:
| Eigenschappen | Beschrijving |
|---|---|
| Naam | Een unieke naam binnen de resourcegroep. |
| Subnet | Het subnet dat moet worden geïmplementeerd, waarbij het privé-IP-adres is toegewezen. Zie de sectie Beperkingen verderop in dit artikel voor subnetvereisten. |
| Private Link-resource | De private link-resource om verbinding te maken met behulp van een resource-id of alias, in de lijst met beschikbare typen. Er wordt een unieke netwerk-id gegenereerd voor al het verkeer dat naar deze resource wordt verzonden. |
| Subresource van doel | De subresource om verbinding te maken. Elk resourcetype private-link heeft verschillende opties die u kunt selecteren op basis van voorkeur. |
| Goedkeuringsmethode voor verbinding | Automatisch of handmatig. Afhankelijk van de machtigingen voor op rollen gebaseerd toegangsbeheer van Azure, kan uw privé-eindpunt automatisch worden goedgekeurd. Als u verbinding maakt met een private link-resource zonder machtigingen op basis van rollen in Azure, gebruikt u de handmatige methode om de eigenaar van de resource toestemming te geven voor het goedkeuren van de verbinding. |
| Bericht aanvragen | U kunt een bericht opgeven voor aangevraagde verbindingen die handmatig moeten worden goedgekeurd. Dit bericht kan worden gebruikt om een specifieke aanvraag te identificeren. |
| Verbindingsstatus | Een alleen-lezen eigenschap die aangeeft of het privé-eindpunt actief is. Alleen privé-eindpunten met een goedgekeurde status kunnen worden gebruikt om verkeer te verzenden. Meer beschikbare statussen: |
Houd rekening met het volgende wanneer u privé-eindpunten maakt:
Privé-eindpunten maken connectiviteit mogelijk tussen de klanten van hetzelfde:
- Virtueel netwerk
- Regionaal gekoppelde virtuele netwerken
- Wereldwijd gekoppelde virtuele netwerken
- On-premises omgevingen die gebruikmaken van VPN of Express Route
- Services die worden aangedreven door Private Link
Netwerkverbindingen kunnen alleen worden gestart door clients die verbinding maken met het privé-eindpunt. Serviceproviders hebben geen routeringsconfiguratie om verbindingen met serviceklanten te maken. Verbindingen kunnen slechts in één richting tot stand worden gebracht.
Er wordt automatisch een alleen-lezen netwerkinterface gemaakt voor de levenscyclus van het privé-eindpunt. Aan de interface wordt een dynamisch privé-IP-adres toegewezen vanuit het subnet dat is toegewezen aan de private-link-resource. De waarde van het privé-IP-adres blijft ongewijzigd gedurende de volledige levenscyclus van het privé-eindpunt.
Het privé-eindpunt moet worden geïmplementeerd in dezelfde regio en hetzelfde abonnement als het virtuele netwerk.
De private-link-resource kan worden geïmplementeerd in een andere regio dan de resource voor het virtuele netwerk en het privé-eindpunt.
Er kunnen meerdere privé-eindpunten worden gemaakt met dezelfde private link-resource. Voor één netwerk met behulp van een algemene DNS-serverconfiguratie is het raadzaam om één privé-eindpunt te gebruiken voor een opgegeven private-link-resource. Gebruik deze procedure om dubbele vermeldingen of conflicten in DNS-omzetting te voorkomen.
Er kunnen meerdere privé-eindpunten worden gemaakt op dezelfde of verschillende subnetten binnen hetzelfde virtuele netwerk. Er gelden limieten voor het aantal privé-eindpunten dat u in een abonnement kunt maken. Zie Azure-limieten voor meer informatie.
Het abonnement dat de private link-resource bevat, moet worden geregistreerd bij de Microsoft-netwerkresourceprovider. Het abonnement dat het privé-eindpunt bevat, moet ook worden geregistreerd bij de Microsoft-netwerkresourceprovider. Zie Azure-resourceproviders voor meer informatie.
Private Link-resource
Een private-link-resource is het doel van een opgegeven privé-eindpunt. De volgende tabel bevat de beschikbare resources die ondersteuning bieden voor een privé-eindpunt:
| Naam van private-link-resource | Brontype | Subbronnen |
|---|---|---|
| Application Gateway | Microsoft.Network/applicationgateways | Front-end-IP-configuratienaam |
| Azure AI Search | Microsoft.Search/searchServices | searchService |
| Azure AI-services | Microsoft.CognitiveServices/accounts | Account |
| Azure API for FHIR (Fast Healthcare Interoperability Resources) | Microsoft.HealthcareApis/services | fhir |
| Azure API Management | Microsoft.ApiManagement/service | Gateway |
| Azure App Configuration | Microsoft.Appconfiguration/configurationStores | configurationStores |
| Azure App Service | Microsoft.Web/hostingEnvironments | hostingomgeving |
| Azure App Service | Microsoft.Web/sites | Sites |
| Azure Attestation Service | Microsoft.Attestation/attestationProviders | standard |
| Azure Automation | Microsoft.Automation/automationAccounts | Webhook, DSCAndHybridWorker |
| Azure Backup | Microsoft.RecoveryServices/vaults | AzureBackup, AzureSiteRecovery |
| Azure Batch | Microsoft.Batch/batchAccounts | batchAccount, nodeManagement |
| Azure Cache voor Redis | Microsoft.Cache/Redis | redisCache |
| Azure Cache voor Redis Enterprise | Microsoft.Cache/redisEnterprise | redisEnterprise |
| Azure Container Apps | Microsoft.App/ManagedEnvironments | managedEnvironment |
| Azure Container Registry | Microsoft.ContainerRegistry/registers | register |
| Azure Cosmos DB | Microsoft.AzureCosmosDB/databaseAccounts | SQL, MongoDB, Cassandra, Gremlin, Table |
| Azure Cosmos DB voor MongoDB vCore | Microsoft.DocumentDb/mongoClusters | mongoCluster |
| Azure Cosmos DB for PostgreSQL | Microsoft.DBforPostgreSQL/serverGroupsv2 | coördinator |
| Azure Data Explorer | Microsoft.Kusto/clusters | cluster |
| Azure Data Factory | Microsoft.DataFactory/factory's | dataFactory |
| Azure Database for MariaDB | Microsoft.DBforMariaDB/servers | mariadbServer |
| Azure Database for MySQL - Flexibele server | Microsoft.DBforMySQL/flexibleServers | mysqlServer |
| Azure Database for MySQL - Single Server | Microsoft.DBforMySQL/servers | mysqlServer |
| Azure Database for PostgreSQL - Flexibele server | Microsoft.DBforPostgreSQL/flexibleServers | postgresqlServer |
| Azure Database for PostgreSQL - één server | Microsoft.DBforPostgreSQL/servers | postgresqlServer |
| Azure Databricks | Microsoft.Databricks/workspaces | databricks_ui_api, browser_authentication |
| Azure Device Provisioning Service | Microsoft.Devices/provisioningServices | iotDps |
| Azure Digital Twins | Microsoft.DigitalTwins/digitalTwinsInstances | API |
| Azure Event Grid | Microsoft.EventGrid/domains | domain |
| Azure Event Grid | Microsoft.EventGrid/topics | onderwerp |
| Azure Event Hub | Microsoft.EventHub/namespaces | naamruimte |
| Azure File Sync | Microsoft.StorageSync/storageSyncServices | File Sync-service |
| Azure HDInsight | Microsoft.HDInsight/clusters | cluster |
| Azure IoT Central | Microsoft.IoTCentral/IoTApps | IoTApps |
| Azure IoT Hub | Microsoft.Devices/IotHubs | iotHub |
| Azure Key Vault | Microsoft.KeyVault/vaults | kluis |
| Azure Key Vault HSM (hardwarebeveiligingsmodule) | Microsoft.Keyvault/managedHSMs | HSM |
| Azure Kubernetes Service - Kubernetes API | Microsoft.ContainerService/managedClusters | beheer |
| Azure Machine Learning | Microsoft.MachineLearningServices/registers | amlregistry |
| Azure Machine Learning | Microsoft.MachineLearningServices/werkruimten | amlworkspace |
| Azure Managed Disks | Microsoft.Compute/diskAccesses | beheerde schijf |
| Azure Media Services | Microsoft.Media/mediaservices | keydelivery, liveevent, streamingendpoint |
| Azure Migrate | Microsoft.Migrate/assessmentProjects | project |
| Azure Monitor Private Link-bereik | Microsoft.Insights/privatelinkscopes | azuremonitor |
| Azure Relay | Microsoft.Relay/naamruimten | naamruimte |
| Azure Service Bus | Microsoft.ServiceBus/namespaces | naamruimte |
| Azure SignalR Service | Microsoft.SignalRService/SignalR | signalr |
| Azure SignalR Service | Microsoft.SignalRService/webPubSub | webpubsub |
| Azure SQL-database | Microsoft.Sql/servers | SQL Server (sqlServer) |
| Azure SQL Managed Instance | Microsoft.Sql/managedInstances | managedInstance |
| Azure Static Web Apps | Microsoft.Web/staticSites | staticSites |
| Azure Storage | Microsoft.Storage/storageAccounts | Blob (blob, blob_secondary) Tabel (tabel, table_secondary) Wachtrij (wachtrij, queue_secondary) Bestand (bestand, file_secondary) Web (web, web_secondary) Dfs (dfs, dfs_secondary) |
| Azure Synapse | Microsoft.Synapse/privateLinkHubs | web |
| Azure Synapse Analytics | Microsoft.Synapse/workspaces | Sql, SqlOnDemand, Dev |
| Azure Virtual Desktop - hostgroepen | Microsoft.DesktopVirtualization/hostpools | verbinding |
| Azure Virtual Desktop - werkruimten | Microsoft.DesktopVirtualization/workspaces | feed global |
| Apparaatupdate voor IoT Hub | Microsoft.DeviceUpdate/accounts | DeviceUpdate |
| Integratieaccount (Premium) | Microsoft.Logic/integrationAccounts | integrationAccount |
| Microsoft Purview | Microsoft.Purview/accounts | Account |
| Microsoft Purview | Microsoft.Purview/accounts | portal |
| Power BI | Microsoft.PowerBI/privateLinkServicesForPowerBI | Power BI |
| Private Link-service (uw eigen service) | Microsoft.Network/privateLinkServices | empty |
| Privékoppelingen voor resourcebeheer | Microsoft.Authorization/resourceManagementPrivateLinks | ResourceManagement |
Notitie
U kunt alleen privé-eindpunten maken voor een GPv2-opslagaccount (Algemeen gebruik v2).
Netwerkbeveiliging van privé-eindpunten
Wanneer u privé-eindpunten gebruikt, wordt verkeer beveiligd met een private link-resource. Het platform valideert netwerkverbindingen, zodat alleen de verbindingen die de opgegeven private-link-resource bereiken, zijn toegestaan. Voor toegang tot meer subresources binnen dezelfde Azure-service zijn meer privé-eindpunten met bijbehorende doelen vereist. In het geval van Azure Storage hebt u bijvoorbeeld afzonderlijke privé-eindpunten nodig voor toegang tot het bestand en de blob-subresources.
Privé-eindpunten bieden een privé-toegankelijk IP-adres voor de Azure-service, maar beperken niet noodzakelijkerwijs de toegang tot het openbare netwerk. Voor alle andere Azure-services zijn echter aanvullende besturingselementen voor toegang vereist. Deze besturingselementen bieden een extra netwerkbeveiligingslaag voor uw resources, waardoor beveiliging wordt geboden om toegang tot de Azure-service te voorkomen die is gekoppeld aan de private-link-resource.
Privé-eindpunten ondersteunen netwerkbeleid. Netwerkbeleid maakt ondersteuning mogelijk voor netwerkbeveiligingsgroepen (NSG), door de gebruiker gedefinieerde routes (UDR) en toepassingsbeveiligingsgroepen (ASG). Bekijk netwerkbeleid voor privé-eindpunten beheren voor meer informatie over het inschakelen van netwerkbeleid voor een privé-eindpunt. Als u een ASG wilt gebruiken met een privé-eindpunt, raadpleegt u Een toepassingsbeveiligingsgroep (ASG) configureren met een privé-eindpunt.
Toegang tot een private-link-resource met behulp van een goedkeuringswerkstroom
U kunt verbinding maken met een private link-resource met behulp van de volgende methoden voor goedkeuring van verbindingen:
Automatisch goedkeuren: gebruik deze methode wanneer u de eigenaar bent of machtigingen hebt voor de specifieke private-link-resource. De vereiste machtigingen zijn gebaseerd op het resourcetype private-link in de volgende indeling:
Microsoft.<Provider>/<resource_type>/privateEndpointConnectionsApproval/actionHandmatig aanvragen: gebruik deze methode wanneer u niet over de vereiste machtigingen beschikt en toegang wilt aanvragen. Er wordt een goedkeuringswerkstroom geïnitieerd. Het privé-eindpunt en latere privé-eindpuntverbindingen worden gemaakt in de status In behandeling . De eigenaar van de private-link-resource is verantwoordelijk voor het goedkeuren van de verbinding. Nadat het is goedgekeurd, is het privé-eindpunt ingeschakeld om normaal verkeer te verzenden, zoals wordt weergegeven in het volgende werkstroomdiagram voor goedkeuring:
Via een privé-eindpuntverbinding kan de eigenaar van een private-link-resource het volgende doen:
- Bekijk alle details van de privé-eindpuntverbinding.
- Een privé-eindpuntverbinding goedkeuren. Het bijbehorende privé-eindpunt is ingeschakeld voor het verzenden van verkeer naar de private-link-resource.
- Een privé-eindpuntverbinding weigeren. Het bijbehorende privé-eindpunt wordt bijgewerkt om de status weer te geven.
- Verwijder een privé-eindpuntverbinding in elke status. Het bijbehorende privé-eindpunt wordt bijgewerkt met een niet-verbonden status om de actie weer te geven. De eigenaar van het privé-eindpunt kan op dit moment alleen de resource verwijderen.
Notitie
Alleen privé-eindpunten met een goedgekeurde status kunnen verkeer verzenden naar een opgegeven private-link-resource.
Verbinding maken met behulp van een alias
Een alias is een unieke moniker die wordt gegenereerd wanneer een service-eigenaar een private link-service achter een standaard load balancer maakt. Service-eigenaren kunnen deze alias offline delen met consumenten van uw service.
De consumenten kunnen een verbinding met een private-link-service aanvragen met behulp van de resource-URI of de alias. Als u verbinding wilt maken met behulp van de alias, maakt u een privé-eindpunt met behulp van de handmatige goedkeuringsmethode voor de verbinding. Als u de handmatige goedkeuringsmethode voor verbindingen wilt gebruiken, stelt u de handmatige aanvraagparameter in op True tijdens het maken van het privé-eindpunt. Zie New-AzPrivateEndpoint en az network private-endpoint create voor meer informatie.
Notitie
Deze handmatige aanvraag kan automatisch worden goedgekeurd als het abonnement van de consument wordt toegestaan aan de providerzijde. Ga voor meer informatie naar het beheren van servicetoegang.
DNS-configuratie
De DNS-instellingen die u gebruikt om verbinding te maken met een private-link-resource zijn belangrijk. Bestaande Azure-services hebben mogelijk al een DNS-configuratie die u kunt gebruiken wanneer u verbinding maakt via een openbaar eindpunt. Als u via een privé-eindpunt verbinding wilt maken met dezelfde service, zijn afzonderlijke DNS-instellingen, vaak geconfigureerd via privé-DNS-zones, vereist. Zorg ervoor dat uw DNS-instellingen juist zijn wanneer u de FQDN (Fully Qualified Domain Name) voor de verbinding gebruikt. De instellingen moeten worden omgezet in het privé-IP-adres van het privé-eindpunt.
De netwerkinterface die is gekoppeld aan het privé-eindpunt bevat de informatie die nodig is om uw DNS te configureren. De informatie bevat de FQDN en het privé-IP-adres voor een private-link-resource.
Zie DNS-configuratie voor privé-eindpunten voor volledige, gedetailleerde informatie over aanbevelingen voor het configureren van DNS voor privé-eindpunten.
Beperkingen
De volgende informatie bevat de bekende beperkingen voor het gebruik van privé-eindpunten:
Statisch IP-adres
| Beperking | Beschrijving |
|---|---|
| Configuratie van statische IP-adressen wordt momenteel niet ondersteund. | Azure Kubernetes Service (AKS) Azure-toepassing Gateway HD Insight Recovery Services Vaults Private Link-services van derden |
Netwerkbeveiligingsgroep
| Beperking | Beschrijving |
|---|---|
| Effectieve routes en beveiligingsregels zijn niet beschikbaar voor de netwerkinterface van privé-eindpunten. | Effectieve routes en beveiligingsregels worden niet weergegeven voor de privé-eindpunt-NIC in Azure Portal. |
| NSG-stroomlogboeken worden niet ondersteund. | NSG-stroomlogboeken zijn niet beschikbaar voor binnenkomend verkeer dat is bestemd voor een privé-eindpunt. |
| Maximaal 50 leden in een toepassingsbeveiligingsgroep. | Vijftig is het aantal IP-configuraties dat kan worden gekoppeld aan elke respectieve ASG die is gekoppeld aan de NSG op het subnet van het privé-eindpunt. Verbindingsfouten kunnen optreden met meer dan 50 leden. |
| Doelpoortbereiken worden ondersteund tot een factor van 250 K. | Doelpoortbereiken worden ondersteund als een vermenigvuldigende SourceAddressPrefixes, DestinationAddressPrefixes en DestinationPortRanges. Voorbeeld van inkomende regel: Één bron * één bestemming * 4K portRanges = 4K Geldige 10 bronnen * 10 bestemmingen * 10 portRanges = 1 K Geldige 50 bronnen * 50 bestemmingen * 50 portRanges = 125 K Geldige 50 bronnen * 50 bestemmingen * 100 portRanges = 250 K Geldige 100 bronnen * 100 bestemmingen * 100 portRanges = 1M Ongeldig, NSG heeft te veel bronnen/bestemmingen/poorten. |
| Filteren van bronpoorten wordt geïnterpreteerd als * | Filteren van bronpoorten wordt niet actief gebruikt als geldig scenario voor het filteren van verkeer voor verkeer dat is bestemd voor een privé-eindpunt. |
| Functie is niet beschikbaar in bepaalde regio's. | Momenteel niet beschikbaar in de volgende regio's: India - west Australië - centraal 2 Zuid-Afrika - west Brazilië - zuidoost alle overheidsregio's Alle China-regio's |
NSG meer overwegingen
Uitgaand verkeer dat is geweigerd vanuit een privé-eindpunt is geen geldig scenario, omdat de serviceprovider geen verkeer kan genereren.
Voor de volgende services moeten mogelijk alle doelpoorten zijn geopend wanneer u een privé-eindpunt gebruikt en NSG-beveiligingsfilters toevoegt:
- Azure Cosmos DB: zie Servicepoortbereiken voor meer informatie.
UDR
| Beperking | Beschrijving |
|---|---|
| SNAT wordt altijd aanbevolen. | Vanwege de variabele aard van het gegevensvlak van het privé-eindpunt wordt het aanbevolen om SNAT-verkeer dat is bestemd voor een privé-eindpunt, te gebruiken om ervoor te zorgen dat retourverkeer wordt gehonoreerd. |
| Functie is niet beschikbaar in bepaalde regio's. | Momenteel niet beschikbaar in de volgende regio's: India - west Australië - centraal 2 Zuid-Afrika - west Brazilië - zuidoost |
Toepassingsbeveiligingsgroep
| Beperking | Beschrijving |
|---|---|
| Functie is niet beschikbaar in bepaalde regio's. | Momenteel niet beschikbaar in de volgende regio's: India - west Australië - centraal 2 Zuid-Afrika - west Brazilië - zuidoost |
Volgende stappen
Zie Wat is Azure Private Link?voor meer informatie over privé-eindpunten en Private Link.
Zie quickstart: Een privé-eindpunt maken met behulp van Azure Portal om aan de slag te gaan met het maken van een privé-eindpunt voor een web-app.