Diensttags in virtuellen Netzwerken

Ein Diensttag steht für eine Gruppe von IP-Adresspräfixen eines bestimmten Azure-Diensts. Microsoft verwaltet die Adresspräfixe, für die das Diensttag gilt, und aktualisiert das Tag automatisch, wenn sich die Adressen ändern. Auf diese Weise wird die Komplexität häufiger Updates an Netzwerksicherheitsregeln minimiert.

Sie können Diensttags verwenden, um Netzwerkzugriffssteuerungen in Netzwerksicherheitsgruppen, Azure Firewall und benutzerdefinierten Routen zu definieren. Verwenden Sie Diensttags anstelle von bestimmten IP-Adressen, wenn Sie Sicherheitsregeln und Routen erstellen. Indem Sie den Diensttagnamen (z. B. ApiManagement) im entsprechenden Feld Quelle oder Ziel einer Sicherheitsregel angeben, können Sie den Datenverkehr für den entsprechenden Dienst zulassen oder verweigern. Indem Sie den Tagnamen des Diensts im Adresspräfix einer Route angeben, können Sie den Datenverkehr, der für eines der Präfixe bestimmt ist, die durch das Tag des Diensts gekapselt sind, an einen gewünschten nächsten Hoptyp weiterleiten.

Mithilfe von Diensttags können Sie Netzwerkisolation erreichen und Ihre Azure-Ressourcen vor dem allgemeinen Internet schützen, während Sie auf Azure-Dienste mit öffentlichen Endpunkten zugreifen. Erstellen Sie Regeln für eingehende/ausgehende Netzwerksicherheitsgruppen, um Datenverkehr in das Internet und aus diesem zu verweigern und Datenverkehr in die Azure-Cloud oder andere verfügbare Diensttags von bestimmten Azure-Diensten und aus diesen zuzulassen.

Verfügbare Diensttags

Die folgende Tabelle listet alle Diensttags auf, die zur Verwendung in Regeln für Netzwerksicherheitsgruppen verfügbar sind.

In den Spalten wird angegeben, ob das jeweilige Tag:

• für Regeln geeignet ist, die eingehenden oder ausgehenden Datenverkehr abdecken.
• einen regionalen Bereich unterstützt.
• In Azure Firewall-Regeln nur für eingehenden oder ausgehenden Datenverkehr als Zielregel nutzbar ist.

Standardmäßig spiegeln Diensttags die Bereiche für die gesamte Cloud wider. Einige Diensttags ermöglichen eine präzisere Steuerung, indem sie die entsprechenden IP-Adressbereiche auf eine bestimmte Region beschränken. Das Diensttag Storage beispielsweise repräsentiert Azure Storage für die gesamte Cloud, Storage.WestUS schränkt den Bereich jedoch auf die IP-Adressbereiche der Region „USA, Westen“ ein. In der folgenden Tabelle wird angegeben, ob jedes Diensttag einen solchen regionalen Bereich unterstützt. Die für jedes Tag aufgeführte Richtung ist eine Empfehlung. Beispielsweise kann das AzureCloud-Tag verwendet werden, um eingehenden Datenverkehr zuzulassen. In den meisten Szenarien wird nicht empfohlen, Datenverkehr von allen Azure-IPs zuzulassen, da IPs, die von anderen Azure-Kunden verwendet werden, als Teil des Diensttags enthalten sind.

Unterstützte Tags im klassischen Bereitstellungsmodell

Das klassische Bereitstellungsmodell (vor Azure Resource Manager) unterstützt einen kleinen Teil der in der obigen Tabelle aufgeführten Tags. Die Tags im klassischen Bereitstellungsmodell werden anders geschrieben, wie in der folgenden Tabelle gezeigt:

Tags, die für benutzerdefinierte Routen (UDR) nicht unterstützt werden

Im Folgenden ist eine Liste der Tags aufgeführt, die derzeit nicht für die Verwendung mit benutzerdefinierten Routen (UDR) unterstützt werden.

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• Internet

Lokale Diensttags

Sie können die aktuellen Informationen zu Diensttag und Bereich abrufen und in Ihren lokalen Firewallkonfigurationen verwenden. Bei diesen Informationen handelt es sich um die zum jetzigen Zeitpunkt gültige Liste der IP-Adressbereiche, die den einzelnen Diensttags entsprechen. Sie können die Informationen programmgesteuert oder über einen JSON-Dateidownload abrufen (siehe Beschreibung in den folgenden Abschnitten).

Verwendung der Diensttagermittlungs-API

Sie können die aktuelle Liste der Diensttags zusammen mit Details zum IP-Adressbereich programmgesteuert abrufen:

• REST

• Azure PowerShell

• Azure-Befehlszeilenschnittstelle

Um beispielsweise alle Präfixe für das Tag „Storage Service“ abzurufen, können Sie die folgenden PowerShell-Cmdlets verwenden:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Ermitteln von Diensttags mithilfe von herunterladbaren JSON-Dateien

Sie können JSON-Dateien mit der aktuellen Liste der Diensttags zusammen mit Details zum IP-Adressbereich herunterladen. Diese Listen werden wöchentlich aktualisiert und veröffentlicht. Hier finden Sie die Speicherorte für die einzelnen Clouds:

• Azure öffentlich

• Azure US Government

• Microsoft Azure, betrieben von 21Vianet

• Azure Deutschland

Die IP-Adressbereiche in diesen Dateien liegen in CIDR-Notation vor.

Die folgenden AzureCloud-Tags weisen keine regionalen Namen auf, die gemäß dem normalen Schema formatiert sind:

• AzureCloud.centralfrance (Zentralfrankreich)

• AzureCloud.southfrance (Südfrankreich)

• AzureCloud.germanywc (West- und Mitteldeutschland)

• AzureCloud.germanyn (Norddeutschland)

• AzureCloud.norwaye (Ostnorwegen)

• AzureCloud.norwayw (Westnorwegen)

• AzureCloud.switzerlandn (Nordschweiz)

• AzureCloud.switzerlandw (Westschweiz)

• AzureCloud.usstagee (OstUSASTG)

• AzureCloud.usstagec (Süd-und MittelUSASTG)

• AzureCloud.brazilse (BrazilSoutheast)

Nächste Schritte

• Erstellen einer Netzwerksicherheitsgruppe.