Gérer des points de terminaison privés Azure

Les points de terminaison privés Azure ont plusieurs options pour gérer leur configuration et leur déploiement.

Vous pouvez déterminer GroupId et MemberName valeurs en interrogeant la ressource Azure Private Link. Vous avez besoin des valeurs et MemberName des GroupId valeurs pour configurer une adresse IP statique pour un point de terminaison privé lors de la création.

Un point de terminaison privé a deux propriétés personnalisées : l’adresse IP statique et le nom de l’interface réseau. Ces propriétés doivent être définies lorsque le point de terminaison privé est créé.

Avec un fournisseur de services et un déploiement consommateur de Private Link, un processus d’approbation est en place pour établir la connexion.

Déterminer GroupID et MemberName

Lors de la création d’un point de terminaison privé avec Azure PowerShell et Azure CLI, les valeurs et MemberName les GroupId valeurs de la ressource de point de terminaison privé peuvent être nécessaires.

• GroupId est la sous-ressource du point de terminaison privé.
• MemberName est l’empreinte unique de l’adresse IP privée du point de terminaison.

Pour plus d’informations sur les sous-ressources de point de terminaison privé et leurs valeurs, consultez la ressource Private Link.

Pour déterminer les valeurs et pour votre ressource de point de GroupId MemberName terminaison privé, utilisez les commandes suivantes. MemberName est contenu dans la RequiredMembers propriété.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Propriétés personnalisées

Le renommage de l’interface réseau et l’attribution d’adresses IP statiques sont des propriétés personnalisées que vous pouvez définir sur un point de terminaison privé lors de la création.

Changement de nom de l’interface réseau

Par défaut, lorsqu’un point de terminaison privé est créé, l’interface réseau associée au point de terminaison privé reçoit un nom aléatoire pour son interface réseau. L’interface réseau doit être nommée lorsque le point de terminaison privé est créé. Le changement de nom de l’interface réseau d’un point de terminaison privé existant n’est pas pris en charge.

Utilisez les commandes suivantes lorsque vous créez un point de terminaison privé pour renommer l’interface réseau.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Adresse IP statique

Par défaut, lorsqu’un point de terminaison privé est créé, l’adresse IP du point de terminaison est automatiquement affectée. L’adresse IP est affectée à partir de la plage d’adresses IP du réseau virtuel configuré pour le point de terminaison privé. Une situation peut survenir lorsqu’une adresse IP statique pour le point de terminaison privé est requise. L’adresse IP statique doit être affectée lorsque le point de terminaison privé est créé. La configuration d’une adresse IP statique pour un point de terminaison privé existant n’est actuellement pas prise en charge.

Pour connaître les procédures de configuration d’une adresse IP statique lorsque vous créez un point de terminaison privé, consultez Créer un point de terminaison privé à l’aide d’Azure PowerShell et créer un point de terminaison privé à l’aide d’Azure CLI.

Connexions des points de terminaison privés

Private Link fonctionne sur un modèle d’approbation où le consommateur Private Link peut demander une connexion au fournisseur de services pour consommer le service.

Le fournisseur de services peut alors décider s’il faut autoriser l’utilisateur à se connecter. Private Link permet aux fournisseurs de services de gérer la connexion de point de terminaison privé sur leurs ressources.

Il existe deux méthodes d’approbation de connexion qu’un consommateur Private Link peut choisir parmi :

• Automatique : si le consommateur de services dispose d’autorisations de contrôle d’accès en fonction du rôle (RBAC) Azure sur la ressource du fournisseur de services, le consommateur peut choisir la méthode d’approbation automatique. Lorsque la demande atteint la ressource du fournisseur de services, celui-ci n’a rien à faire, car la connexion est automatiquement approuvée.

• Manuel : si le consommateur de services n’a pas d’autorisations RBAC sur la ressource du fournisseur de services, le consommateur peut choisir la méthode d’approbation manuelle. La demande de connexion apparaît comme étant En attente dans les ressources du service. Le fournisseur de services doit approuver manuellement la demande avant de pouvoir établir des connexions.

  Dans les cas manuels, le consommateur de services peut également spécifier un message avec la demande pour fournir plus de contexte au fournisseur de services. Le fournisseur de services dispose des options suivantes pour choisir parmi toutes les connexions de point de terminaison privé : Approuver, Rejeter et Supprimer.

Le tableau suivant présente les différentes actions du fournisseur de services et les états de connexion résultants pour les points de terminaison privés. Le fournisseur de services peut modifier l’état de la connexion ultérieurement sans intervention de l’utilisateur. L’action met à jour l’état du point de terminaison côté consommateur.

Gérer les connexions de point de terminaison privé sur les ressources Azure PaaS

Suivez les étapes suivantes pour gérer une connexion de point de terminaison privé dans le Portail Azure.

1. Connectez-vous au portail Azure.

2. Dans la zone de recherche située en haut du portail, entrez Private Link. Dans les résultats de la recherche, sélectionnez Liaison privée.

3. Dans le Centre Private Link, sélectionnez Points de terminaison privés ou services private link.

4. Pour chaque point de terminaison, vous pouvez afficher le nombre de connexions de point de terminaison privé qui lui sont associées. Vous pouvez filtrer les ressources selon vos besoins.

5. Sélectionnez le point de terminaison privé. Dans la liste des connexions, sélectionnez la connexion que vous souhaitez gérer.

6. Vous pouvez modifier l’état de la connexion en sélectionnant l’une des options situées en haut.

Gérer les connexions de point de terminaison privé sur un service Private Link appartenant au client ou au partenaire

Utilisez les commandes PowerShell et Azure CLI suivantes pour gérer les connexions de point de terminaison privé sur les services partenaires Microsoft ou les services appartenant au client.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Étapes suivantes

• En savoir plus sur les points de terminaison privés