Konfigurace síťového přístupu pro Azure Elastic SAN

Článek
10/19/2024

Přístup ke svazkům sítě SAN (Azure Elastic Storage Area Network) můžete řídit. Řízení přístupu umožňuje zabezpečit data a splňovat potřeby vašich aplikací a podnikových prostředí.

Tento článek popisuje, jak nakonfigurovat elastickou síť SAN tak, aby umožňovala přístup z infrastruktury virtuální sítě Azure.

Konfigurace síťového přístupu k elastické síti SAN:

Konfigurace přístupu k veřejné síti
Nakonfigurujte koncový bod virtuální sítě.
Nakonfigurujte připojení klientů.

Požadavky

Pokud používáte Azure PowerShell, nainstalujte nejnovější modul Azure PowerShellu.
Pokud používáte Azure CLI, nainstalujte nejnovější verzi.
Jakmile nainstalujete nejnovější verzi, spusťte az extension add -n elastic-san instalaci rozšíření pro Elastic SAN. Nevyžadují se žádné další kroky registrace.

Omezení

Následující seznam obsahuje oblasti, ve kterých je v současné době k dispozici elastická síť SAN, a oblasti podporují zónově redundantní úložiště (ZRS) i místně redundantní úložiště (LRS) nebo pouze LRS:

Austrálie – východ – LRS
Brazílie – jih - LRS
Kanada – střed – LRS
USA – střed – LRS
Východní Asie – LRS
USA – východ – LRS
USA – východ 2 – LRS
Francie – střed - LRS a ZRS
Německo – středozápad - LRS
Indie – střed – LRS
Japonsko – východ – LRS
Korea – střed – LRS
Severní Evropa – LRS a ZRS
Norsko – východ – LRS
Jižní Afrika – sever - LRS
USA – středojižní – LRS
Jihovýchodní Asie – LRS
Švédsko – střed – LRS
Švýcarsko – sever - LRS
Spojené arabské emiráty – sever – LRS
Velká Británie – jih – LRS
Západní Evropa – LRS a ZRS
USA – západ 2 – LRS a ZRS
USA – západ 3 – LRS

Elastická síť SAN je dostupná také v následujících oblastech, ale bez podpory zóny dostupnosti:

Kanada – východ – LRS
Japonsko – západ – LRS
USA – středosever – LRS

Pokud chcete tyto oblasti povolit, spusťte následující příkaz a zaregistrujte příznak potřebné funkce:

Register-AzProviderFeature -FeatureName "EnableElasticSANRegionalDeployment" -ProviderNamespace "Microsoft.ElasticSan"

Konfigurace přístupu k veřejné síti

Povolíte veřejný přístup k internetu ke koncovým bodům elastické sítě SAN na úrovni sítě SAN. Povolení přístupu k veřejné síti pro elastickou síť SAN umožňuje nakonfigurovat veřejný přístup k jednotlivým skupinám svazků přes koncové body služby úložiště. Ve výchozím nastavení je veřejný přístup k jednotlivým skupinám svazků odepřen, i když ho povolíte na úrovni SÍTĚ SAN. Skupiny svazků musíte explicitně nakonfigurovat tak, aby povolily přístup z konkrétních rozsahů IP adres a podsítí virtuální sítě.

Přístup k veřejné síti můžete povolit při vytváření elastické sítě SAN nebo ho povolit pro existující síť SAN pomocí modulu Azure PowerShellu nebo Azure CLI.

K povolení přístupu k veřejné síti použijte modul Azure PowerShellu nebo Azure CLI.

Tento ukázkový kód použijte k vytvoření elastické sítě SAN s povoleným přístupem k veřejné síti pomocí PowerShellu. Před spuštěním ukázky nahraďte hodnoty proměnných.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName       = "<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName     = "<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location     = "<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName      = "<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize     = "<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize = "<ExtendedSize>"
# Setup the parameters to create an Elastic San with public network access enabled.
$NewEsanArguments = @{
    Name                    = $EsanName
    ResourceGroupName       = $RgName
    BaseSizeTiB             = $BaseSize
    ExtendedCapacitySizeTiB = $ExtendedSize
    Location                = $Location
    SkuName                 = $SkuName
    PublicNetworkAccess     = "Enabled"
}
# Create the Elastic San.
New-AzElasticSan @NewEsanArguments

Tento ukázkový kód použijte k aktualizaci elastické sítě SAN, aby bylo možné povolit přístup k veřejné síti pomocí PowerShellu. Nahraďte hodnoty a EsanName vlastními hodnotami RgName a spusťte ukázku:

# Set the variable values.
$RgName       = "<ResourceGroupName>"
$EsanName     = "<ElasticSanName>"
# Update the Elastic San.
Update-AzElasticSan -Name $EsanName -ResourceGroupName $RgName -PublicNetworkAccess Enabled

Tento ukázkový kód použijte k vytvoření elastické sítě SAN s povoleným přístupem k veřejné síti pomocí Azure CLI. Před spuštěním ukázky nahraďte hodnoty proměnných.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName="<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName="<ElasticSanName>"
# The region where the new Elastic San will be created.
$Location="<Location>"
# The SKU of the new Elastic SAN - `Premium_LRS` or `Premium_ZRS`.
$SkuName="<SkuName>"
# The base size of the new Elastic SAN.
$BaseSize="<BaseSize>"
# The extended size of the new Elastic SAN.
$ExtendedSize="<ExtendedSize>"

# Create the Elastic San.
az elastic-san create \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --location $Location \
    --base-size-tib $BaseSize \
    --extended-capacity-size-tib $ExtendedSize \
    --sku $SkuName \
    --public-network-access enabled

Pomocí tohoto ukázkového kódu aktualizujte elastickou síť SAN, abyste povolili přístup k veřejné síti pomocí Azure CLI. Nahraďte hodnoty RgName a EsanName vlastními hodnotami:

# Set the variable values.
$RgName="<ResourceGroupName>"
$EsanName="<ElasticSanName>"
# Update the Elastic San.
az elastic-san update \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --public-network-access enabled

Konfigurace detekce chyb iSCSI

Povolení detekce chyb iSCSI

Pokud chcete povolit ověření kontrolního součtu CRC-32C pro hlavičky nebo datové části iSCSI, nastavte CRC-32C pro všechna připojení na vašich klientech, která se připojují ke svazkům Elastic SAN. K tomu připojte klienty ke svazkům elastické sítě SAN pomocí skriptů s více relacemi vygenerovanými buď na webu Azure Portal, nebo v článcích o připojení k elastické síti SAN s Windows nebo Linuxem .

Pokud potřebujete, můžete to udělat bez skriptů připojení s více relacemi. Ve Windows to můžete provést nastavením hlaviček nebo hodnot hash dat na 1 během přihlášení ke svazkům Elastic SAN (LoginTarget a PersistentLoginTarget). V Linuxu to můžete provést aktualizací globálního konfiguračního souboru iSCSI (iscsid.conf, obecně nalezený v adresáři /etc/iscsi). Když je svazek připojený, vytvoří se uzel spolu s konfiguračním souborem specifickým pro tento uzel (například v Ubuntu ho najdete v adresáři /etc/iscsi/nodes/$volume_iqn/portal_hostname,$port adresář) dědící nastavení z globálního konfiguračního souboru. Pokud jste už svazky připojili ke svému klientovi před aktualizací globálního konfiguračního souboru, aktualizujte pro každý svazek konkrétní konfigurační soubor uzlu přímo nebo pomocí následujícího příkazu:

sudo iscsiadm -m node -T $volume_iqn -p $portal_hostname:$port -o update -n $iscsi_setting_name -v $setting_value

Kde

$volume_iqn: Elastický svazek SAN IQN
$portal_hostname: Název hostitele portálu elastického svazku SAN
$port: 3260
$iscsi_setting_name: node.conn[0].iscsi. HeaderDigest (nebo) node.conn[0].iscsi. DataDigest
$setting_value: CRC32C

Vynucení detekce chyb iSCSI

Pokud chcete vynutit detekci chyb iSCSI, nastavte CRC-32C pro hlavičky i hodnoty hash dat na vašich klientech a povolte vlastnost ochrany CRC ve skupině svazků, která obsahuje svazky, ke kterým jsou už připojené nebo které ještě mají být připojené z vašich klientů. Pokud jsou svazky elastické sítě SAN již připojené a nemají CRC-32C pro oba algoritmy digest, měli byste svazky odpojit a znovu je připojit pomocí skriptů s více relacemi vygenerovanými na webu Azure Portal při připojování ke svazku Elastic SAN nebo z článků o připojení k elastické síti SAN s Windows nebo Linuxem .

Poznámka:

Funkce ochrany CRC není v současné době dostupná v oblasti Severní Evropa a USA – středojižní.

Povolení ochrany CRC ve skupině svazků:

Povolení ochrany CRC u nové skupiny svazků:

Povolení ochrany CRC u existující skupiny svazků:

Tento skript použijte k povolení ochrany CRC v nové skupině svazků pomocí modulu Azure PowerShell. Před spuštěním skriptu nahraďte hodnoty < $RgName$EsanName$EsanVgName a1/0>.

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
$RgName = "<ResourceGroupName>"
# The name of the Elastic SAN.
$EsanName = "<ElasticSanName>"
# The name of volume group within the Elastic SAN.
$EsanVgName = "<VolumeGroupName>"

# Create a volume group by enabling CRC protection
New-AzElasticSanVolumeGroup -ResourceGroupName $RgName -ElasticSANName $EsanName -Name $EsanVgName -EnforceDataIntegrityCheckForIscsi $true

Pomocí tohoto skriptu můžete povolit ochranu CRC u existující skupiny svazků pomocí modulu Azure PowerShell. Před spuštěním skriptu nahraďte hodnoty < $RgName$EsanName$EsanVgName a1/0>.

# Set the variable values.
$RgName = "<ResourceGroupName>"
$EsanName = "<ElasticSanName>"
$EsanVgName = "<VolumeGroupName>"

# Edit a volume group to enable CRC protection
Update-AzElasticSanVolumeGroup -ResourceGroupName $RgName -ElasticSANName $EsanName -Name $EsanVgName -EnforceDataIntegrityCheckForIscsi $true

Následující ukázka kódu umožňuje ochranu CRC v nové skupině svazků pomocí Azure CLI. Před spuštěním ukázky RgNamenahraďte hodnoty ,EsanNameEsanVgName,

# Set the variable values.
# The name of the resource group where the Elastic San is deployed.
RgName="<ResourceGroupName>"
# The name of the Elastic SAN.
EsanName="<ElasticSanName>"
# The name of volume group within the Elastic SAN.
EsanVgName= "<VolumeGroupName>"

# Create the Elastic San.
az elastic-san volume-group create \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --volume-group-name $EsanVgName \
    --data-integrity-check true

Následující ukázka kódu umožňuje ochranu CRC u existující skupiny svazků pomocí Azure CLI. Před spuštěním ukázky RgNamenahraďte hodnoty ,EsanNameEsanVgName,

# Set the variable values.
RgName="<ResourceGroupName>"
EsanName="<ElasticSanName>"
EsanVgName= "<VolumeGroupName>"

# Create the Elastic San.
az elastic-san volume-group update \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --volume-group-name $EsanVgName \
    --data-integrity-check true

Konfigurace koncového bodu virtuální sítě

Skupiny svazků Elastic SAN můžete nakonfigurovat tak, aby umožňovaly přístup pouze z koncových bodů v konkrétních podsítích virtuální sítě. Povolené podsítě můžou patřit do virtuálních sítí ve stejném předplatném nebo do jiného předplatného, včetně předplatného patřícího jinému tenantovi Microsoft Entra.

Přístup ke skupině svazků Elastic SAN můžete povolit ze dvou typů koncových bodů virtuální sítě Azure:

Privátní koncový bod používá jednu nebo více privátních IP adres z vaší podsítě virtuální sítě pro přístup ke skupině svazků Elastic SAN přes páteřní síť Microsoftu. U privátního koncového bodu jsou přenosy mezi vaší virtuální sítí a skupinou svazků zabezpečené přes privátní propojení.

Koncové body služby virtuální sítě jsou veřejné a přístupné přes internet. Můžete nakonfigurovat pravidla virtuální sítě pro řízení přístupu ke skupině svazků při použití koncových bodů služby úložiště.

Pravidla sítě se vztahují pouze na veřejné koncové body skupiny svazků, nikoli na privátní koncové body. Proces schvalování vytvoření privátního koncového bodu uděluje implicitní přístup k provozu z podsítě, která je hostitelem privátního koncového bodu. Pokud chcete upřesnit pravidla přístupu, můžete použít zásady sítě k řízení provozu přes privátní koncové body. Pokud chcete používat výhradně privátní koncové body, nepovolujte koncové body služby pro skupinu svazků.

Pokud chcete určit, jaký typ koncového bodu je pro vás nejvhodnější, přečtěte si téma Porovnání privátních koncových bodů a koncových bodů služby.

Jakmile je pro skupinu svazků nakonfigurovaný síťový přístup, zdědí se konfigurace všemi svazky patřícími do skupiny.

Postup povolení každého typu koncového bodu:

Konfigurace privátního koncového bodu
Konfigurace koncového bodu služby Azure Storage

Konfigurace privátního koncového bodu

Důležité

Pro elastické sítě SAN, které jako možnost redundance používají místně redundantní úložiště (LRS), se privátní koncové body podporují ve všech oblastech, kde je k dispozici elastická síť SAN. Privátní koncové body se v současné době nepodporují pro elastické sítě SAN, které jako možnost redundance používají zónově redundantní úložiště (ZRS ).

Konfigurace připojení privátního koncového bodu zahrnuje dva kroky:

Vytvoření koncového bodu a přidruženého připojení
Schválení připojení

Pomocí zásad sítě můžete také upřesnit řízení přístupu u privátních koncových bodů.

Pokud chcete vytvořit privátní koncový bod pro skupinu svazků Elastic SAN, musíte mít roli Vlastník skupiny svazků elastické sítě SAN. Pokud chcete schválit nové připojení privátního koncového bodu, musíte mít oprávnění k operaci Microsoft.ElasticSan/elasticSans/PrivateEndpointConnectionsApproval/actionposkytovatele prostředků Azure. Oprávnění k této operaci je součástí role správce sítě SAN Elastic, ale dá se také udělit prostřednictvím vlastní role Azure.

Pokud vytvoříte koncový bod z uživatelského účtu, který má všechny potřebné role a oprávnění požadovaná k vytvoření a schválení, můžete tento proces dokončit v jednom kroku. Pokud ne, vyžaduje dva samostatné kroky dvou různých uživatelů.

Elastická síť SAN a virtuální síť můžou být v různých skupinách prostředků, oblastech a předplatných, včetně předplatných, která patří různým tenantům Microsoft Entra. V těchto příkladech vytváříme privátní koncový bod ve stejné skupině prostředků jako virtuální síť.

Připojení privátního koncového bodu ke skupině svazků můžete vytvořit na webu Azure Portal, a to buď při vytváření skupiny svazků, nebo při úpravě existující skupiny svazků. K vytvoření privátního koncového bodu potřebujete existující virtuální síť.

Při vytváření nebo úpravě skupiny svazků vyberte Sítě a pak v části Připojení privátního koncového bodu vyberte + Vytvořit privátní koncový bod.

Vyplňte hodnoty v místní nabídce, vyberte virtuální síť a podsíť, kterou budou vaše aplikace používat pro připojení. Až budete hotovi, vyberte Přidat a Uložit.

Nasazení privátního koncového bodu pro skupinu svazků Elastic SAN pomocí PowerShellu zahrnuje tyto kroky:

Získejte podsíť z aplikací, které se budou připojovat.
Získejte skupinu svazků Elastic SAN.
Vytvořte připojení služby Private Link pomocí skupiny svazků jako vstupu.
Vytvořte privátní koncový bod pomocí podsítě a připojení služby Private Link jako vstup.
(Volitelné) Pokud používáte dvoustupňový proces (vytvoření, schválení)): Správce sítě Elastic SAN schválí připojení.

Pomocí tohoto ukázkového kódu vytvořte privátní koncový bod pro skupinu svazků Elastic SAN pomocí PowerShellu. Nahraďte hodnoty RgName, VnetName, , SubnetName, EsanNameEsanVgNamePLSvcConnectionName, , EndpointNamea Location(Region) vlastními hodnotami:

# Set the resource group name.
$RgName     = "<ResourceGroupName>"

# Set the virtual network and subnet, which is used when creating the private endpoint.
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

$Vnet = Get-AzVirtualNetwork -Name $VnetName -ResourceGroupName $RgName
$Subnet = $Vnet | Select -ExpandProperty subnets | Where-Object {$_.Name -eq $SubnetName}

# Set the Elastic SAN, which is used when creating the private endpoint service connection.
$EsanName   = "<ElasticSanName>"
$EsanVgName = "<ElasticSanVolumeGroupName>"

$Esan = Get-AzElasticSan -Name $EsanName -ResourceGroupName $RgName

# Create the private link service connection, which is input to creating the private endpoint.
$PLSvcConnectionName = "<PrivateLinkSvcConnectionName>"
$EsanPlSvcConn = New-AzPrivateLinkServiceConnection -Name $PLSvcConnectionName -PrivateLinkServiceId $Esan.Id -GroupId $EsanVgName

# Create the private endpoint.
$EndpointName       = '<PrivateEndpointName>'
$Location           = '<Location>'
$PeArguments        = @{
    Name                         = $EndpointName
    ResourceGroupName            = $RgName
    Location                     = $Location
    Subnet                       = $Subnet
    PrivateLinkServiceConnection = $EsanPlSvcConn
}
New-AzPrivateEndpoint @PeArguments # -ByManualRequest # (Uncomment the `-ByManualRequest` parameter if you are using the two-step process).

Tento ukázkový kód použijte ke schválení připojení služby Private Link, pokud používáte dvoustupňový proces. Použijte stejné proměnné z předchozí ukázky kódu:

# Get the private endpoint and associated connection.
$PrivateEndpoint = Get-AzPrivateEndpoint -Name $EndpointName -ResourceGroupName $RgName
$PeConnArguments  = @{
    ServiceName                  = $EsanName
    ResourceGroupName            = $RgName
    PrivateLinkResourceType      = "Microsoft.ElasticSan/elasticSans"
}
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}

# Approve the private link service connection.
$ApprovalDesc="<ApprovalDesc>"
Approve-AzPrivateEndpointConnection @PeConnArguments -Name $EndpointConnection.Name -Description $ApprovalDesc

# Get the private endpoint connection anew and verify the connection status.
$EndpointConnection = Get-AzPrivateEndpointConnection @PeConnArguments | 
Where-Object {($_.PrivateEndpoint.Id -eq $PrivateEndpoint.Id)}
$EndpointConnection.PrivateLinkServiceConnectionState

Nasazení privátního koncového bodu pro skupinu svazků Elastic SAN pomocí Azure CLI zahrnuje tři kroky:

Získejte ID prostředku privátního připojení elastické sítě SAN.
Vytvořte privátní koncový bod pomocí vstupů:
1. ID prostředku privátního připojení
2. Název skupiny svazků
3. Název skupiny prostředků
4. Název podsítě
5. Název virtuální sítě
(Volitelné Pokud používáte dvoustupňový proces (vytvoření, schválení)): Správce sítě Elastic SAN schválí připojení.

Pomocí tohoto ukázkového kódu vytvořte privátní koncový bod pro skupinu svazků Elastic SAN pomocí Azure CLI. Odkomentujte --manual-request parametr, pokud používáte dvoustupňový proces. Nahraďte všechny ukázkové hodnoty proměnných vlastními hodnotami:

# Define some variables.
# The name of the resource group where the resources are deployed.
RgName="<ResourceGroupName>"
# The name of the subnet from which access to the volume group will be configured.
VnetName="<VnetName>"
# The name of the virtual network that includes the subnet.
SubnetName="<SubnetName>"
# The name of the Elastic SAN that the volume group belongs to.
EsanName="<ElasticSanName>"
# The name of the Elastic SAN Volume Group to which a connection is to be created.
EsanVgName="<ElasticSanVolumeGroupName>"
# The name of the new private endpoint
EndpointName="<PrivateEndpointName>"
# The name of the new private link service connection to the volume group.
PLSvcConnectionName="<PrivateLinkSvcConnectionName>"
# The region where the new private endpoint will be created.
Location="<Location>"
# The description provided for the approval of the private endpoint connection.
ApprovalDesc="<ApprovalDesc>"

# Get the id of the Elastic SAN.
id=$(az elastic-san show \
    --elastic-san-name $EsanName \
    --resource-group $RgName \
    --query 'id' \
    --output tsv)

# Create the private endpoint.
az network private-endpoint create \
    --connection-name $PLSvcConnectionName \
    --name $EndpointName \
    --private-connection-resource-id $id \
    --resource-group $RgName \
    --vnet-name $VnetName \
    --subnet $SubnetName \
    --location $Location \
    --group-id $EsanVgName # --manual-request

# Verify the status of the private endpoint connection.
PLConnectionName=$(az network private-endpoint-connection list \
    --name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --query "[?properties.groupIds[0]=='$EsanVgName'].name" -o tsv)

az network private-endpoint-connection show  \
    --resource-name $EsanName \
    --resource-group $RgName \
    --type Microsoft.ElasticSan/elasticSans \
    --name $PLConnectionName

Tento ukázkový kód použijte ke schválení připojení služby Private Link, pokud používáte dvoustupňový proces. Použijte stejné proměnné z předchozí ukázky kódu:

az network private-endpoint-connection approve \
    --resource-name $EsanName \
    --resource-group $RgName \
    --name $PLConnectionName \
    --type Microsoft.ElasticSan/elasticSans \
    --description $ApprovalDesc

Konfigurace koncového bodu služby Azure Storage

Pokud chcete nakonfigurovat koncový bod služby Azure Storage z virtuální sítě, kde se vyžaduje přístup, musíte mít oprávnění k Microsoft.Network/virtualNetworks/subnets/joinViaServiceEndpoint/action operaci poskytovatele prostředků Azure prostřednictvím vlastní role Azure, aby bylo možné nakonfigurovat koncový bod služby.

Poznámka:

Konfigurace pravidel, která udělují přístup k podsítím ve virtuálních sítích, které jsou součástí jiného tenanta Microsoft Entra, se v současné době podporují jenom prostřednictvím PowerShellu, rozhraní příkazového řádku a rozhraní REST API. Tato pravidla se nedají nakonfigurovat prostřednictvím webu Azure Portal, ale dají se zobrazit na portálu.

Přejděte do své virtuální sítě a vyberte Koncové body služby.
Vyberte + Přidat.
Na obrazovce Přidat koncové body služby:
1. Pro službu vyberte Microsoft.Storage.Global a přidejte koncový bod služby mezi oblastmi.
Poznámka:

Microsoft.Storage se může zobrazit jako dostupný koncový bod služby úložiště. Tato možnost je určená pouze pro koncové body v rámci oblasti, které existují pouze pro zpětnou kompatibilitu. Pokud nemáte konkrétní důvod použití koncových bodů mezi oblastmi, vždy používejte koncové body mezi oblastmi.
Pro podsítě vyberte všechny podsítě , ve kterých chcete povolit přístup.
Vyberte Přidat.

Pomocí tohoto ukázkového kódu vytvořte koncový bod služby úložiště pro skupinu svazků Elastic SAN pomocí PowerShellu.

# Define some variables
$RgName     = "<ResourceGroupName>"
$VnetName   = "<VnetName>"
$SubnetName = "<SubnetName>"

# Get the virtual network and subnet
$Vnet = Get-AzVirtualNetwork -ResourceGroupName $RgName -Name $VnetName
$Subnet = Get-AzVirtualNetworkSubnetConfig -VirtualNetwork $Vnet -Name $SubnetName

# Enable the storage service endpoint
$Vnet | Set-AzVirtualNetworkSubnetConfig -Name $SubnetName -AddressPrefix $Subnet.AddressPrefix -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Pomocí tohoto ukázkového kódu vytvořte koncový bod služby úložiště pro skupinu svazků Elastic SAN pomocí Azure CLI.

# Define some variables
RgName="<ResourceGroupName>"
VnetName="<VnetName>"
SubnetName="<SubnetName>"

# Enable the storage service endpoint
az network vnet subnet update --resource-group $RgName --vnet-name $VnetName --name $SubnetName --service-endpoints "Microsoft.Storage.Global"

Konfigurace pravidel virtuální sítě

Všechny příchozí požadavky na data přes koncový bod služby jsou ve výchozím nastavení blokované. Přístup k datům mají pouze aplikace, které požadují data z povolených zdrojů, které konfigurujete v pravidlech sítě.

Pravidla virtuální sítě pro skupiny svazků můžete spravovat prostřednictvím webu Azure Portal, PowerShellu nebo rozhraní příkazového řádku.

Důležité

Pokud chcete povolit přístup k účtu úložiště z virtuální sítě nebo podsítě v jiném tenantovi Microsoft Entra, musíte použít PowerShell nebo Azure CLI. Azure Portal nezobrazuje podsítě v jiných tenantech Microsoft Entra.

Pokud odstraníte podsíť, která je součástí pravidla sítě, odebere se z pravidel sítě pro skupinu svazků. Pokud vytvoříte novou podsíť se stejným názvem, nebude mít přístup ke skupině svazků. Pokud chcete povolit přístup, musíte explicitně autorizovat novou podsíť v pravidlech sítě pro skupinu svazků.

Přejděte do sítě SAN a vyberte Skupiny svazků.
Vyberte skupinu svazků a vyberte Vytvořit.
Přidejte existující virtuální síť a podsíť a vyberte Uložit.

Nainstalujte Azure PowerShell a přihlaste se.

Zobrazení seznamu pravidel virtuální sítě

$Rules = Get-AzElasticSanVolumeGroup -ResourceGroupName $RgName -ElasticSanName $sanName -Name $volGroupName
$Rules.NetworkAclsVirtualNetworkRule

Povolte koncový bod služby pro Azure Storage v existující virtuální síti a podsíti.

Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

Přidejte pravidlo sítě pro virtuální síť a podsíť.
```
$rule = New-AzElasticSanVirtualNetworkRuleObject -VirtualNetworkResourceId $Subnet.Id -Action Allow

Add-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName $RgName -ElasticSanName $EsanName -VolumeGroupName $EsanVgName -NetworkAclsVirtualNetworkRule $rule
```
Tip

Pokud chcete přidat pravidlo sítě pro podsíť ve virtuální síti patřící do jiného tenanta Microsoft Entra, použijte plně kvalifikovaný parametr VirtualNetworkResourceId ve formátu /subscriptions/subscription-ID/resourceGroups/resourceGroup-Name/providers/Microsoft.Network/virtualNetworks/vNet-name/subnets/subnet-name".

Odeberte pravidlo virtuální sítě.

## You can remove a virtual network rule by object, by resource ID, or by removing all the rules in a volume group
### remove by networkRule object
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkRule $virtualNetworkRule1,$virtualNetworkRule2
### remove by networkRuleResourceId
Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName -NetworkAclsVirtualNetworkResourceId "myResourceID"
### Remove all network rules in a volume group by pipeline
((Get-AzElasticSanVolumeGroup -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName).NetworkAclsVirtualNetworkRule) | Remove-AzElasticSanVolumeGroupNetworkRule -ResourceGroupName myRGName -ElasticSanName mySANName -VolumeGroupName myVolGroupName

Nainstalujte Azure CLI a přihlaste se.
Uveďte informace z konkrétní skupiny svazků, včetně jejich pravidel virtuální sítě.
```
az elastic-san volume-group show -e $sanName -g $RgName -n $volumeGroupName
```

Povolte koncový bod služby pro Azure Storage v existující virtuální síti a podsíti.

az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

Přidejte pravidlo sítě pro virtuální síť a podsíť.

Tip

Pokud chcete přidat pravidlo pro podsíť ve virtuální síti patřící do jiného tenanta Microsoft Entra, použijte ve formuláři /subscriptions/\<subscription-ID\>/resourceGroups/\<resourceGroup-Name\>/providers/Microsoft.Network/virtualNetworks/\<vNet-name\>/subnets/\<subnet-name\>plně kvalifikované ID podsítě .

Pomocí parametru předplatného můžete načíst ID podsítě pro virtuální síť patřící do jiného tenanta Microsoft Entra.

# First, get the current length of the list of virtual networks. This is needed to ensure you append a new network instead of replacing existing ones.
virtualNetworkListLength = az elastic-san volume-group show -e $sanName -n $volumeGroupName -g $RgName --query 'length(networkAcls.virtualNetworkRules)'

az elastic-san volume-group update -e $sanName -g $RgName --name $volumeGroupName --network-acls virtual-network-rules[$virtualNetworkListLength] "{virtualNetworkRules:[{id:/subscriptions/subscriptionID/resourceGroups/RGName/providers/Microsoft.Network/virtualNetworks/$VnetName/subnets/default, action:Allow}]}"

Odeberte pravidlo sítě. Následující příkaz odebere první pravidlo sítě, upraví ho tak, aby se odebralo síťové pravidlo, které chcete.
```
az elastic-san volume-group update -e $sanName -g $RgName -n $volumeGroupName --network-acls virtual-network-rules[1]=null
```

Konfigurace připojení klientů

Po povolení požadovaných koncových bodů a udělení přístupu v pravidlech sítě jste připraveni nakonfigurovat klienty tak, aby se připojili k příslušným svazkům elastické sítě SAN.

Poznámka:

Pokud dojde ke ztrátě připojení mezi virtuálním počítačem a svazkem elastické sítě SAN, připojení se bude opakovat po dobu 90 sekund, dokud se ukončí. Ztráta připojení ke svazku Elastic SAN nezpůsobí restartování virtuálního počítače.

Sdílet prostřednictvím

Konfigurace síťového přístupu pro Azure Elastic SAN

Požadavky

Omezení

Konfigurace přístupu k veřejné síti

Konfigurace detekce chyb iSCSI

Povolení detekce chyb iSCSI

Vynucení detekce chyb iSCSI

Konfigurace koncového bodu virtuální sítě

Konfigurace privátního koncového bodu

Konfigurace koncového bodu služby Azure Storage

Konfigurace pravidel virtuální sítě

Konfigurace připojení klientů

Další kroky

Váš názor

Další materiály