Consentire l'accesso allo spazio dei nomi bus di servizio di Azure da indirizzi IP o intervalli specifici

Per impostazione predefinita, gli spazi dei nomi bus di servizio sono accessibili da Internet, purché la richiesta contenga l'autenticazione e l'autorizzazione valide. Con il firewall IP, il traffico in ingresso può essere limitato a un set di indirizzi IPv4 o intervalli di indirizzi IPv4 (in notazione CIDR (Classless Inter-Domain Routing).

Questa funzionalità è utile negli scenari in cui il bus di servizio deve essere accessibile solo da siti noti specifici. Le regole del firewall consentono di configurare regole di ammissione del traffico proveniente da indirizzi IPv4 specifici. Se ad esempio si usa il bus di servizio con Azure ExpressRoute, è possibile creare una regola del firewall per consentire traffico solo da indirizzi IP o indirizzi IP dell'infrastruttura locale di un gateway NAT aziendale.

Regole del firewall IP

Le regole del firewall IP vengono applicate a livello dello spazio dei nomi del bus di servizio. Di conseguenza, le regole si applicano a tutte le connessioni dai client che usano qualsiasi protocollo supportato (AMQP (5671) e HTTPS (443)). Qualsiasi tentativo di connessione da un indirizzo IP che non corrisponde a una regola IP consentita nello spazio dei nomi bus di servizio viene rifiutato come non autorizzato. Nella risposta non viene fatto riferimento alla regola IP. Le regole del filtro IP vengono applicate in ordine e la prima regola corrispondente all'indirizzo IP determina l'azione di accettazione o rifiuto.

Aspetti importanti

• Le reti virtuali sono supportate solo nel livello Premium del bus di servizio di Microsoft Azure. Se l'aggiornamento al livello Premium non è un'opzione, è possibile usare le regole del firewall IP. È consigliabile mantenere sicuro il token di firma di accesso condiviso e condividerlo con solo gli utenti autorizzati. Per altre informazioni sull'autenticazione SAS, vedere Autenticazione e autorizzazione.

• Specificare almeno una regola del firewall IP o una regola di rete virtuale per lo spazio dei nomi per consentire il traffico solo dagli indirizzi IP o dalla subnet specificati di una rete virtuale. Se non sono presenti regole di rete virtuale e IP, è possibile accedere allo spazio dei nomi tramite Internet pubblico (usando la chiave di accesso).

• L'implementazione di regole del firewall può impedire ad altri servizi di Azure di interagire con bus di servizio. Ad eccezione, è possibile consentire l'accesso alle risorse di bus di servizio da determinati servizi attendibili anche quando è abilitato il filtro IP. Per un elenco dei servizi attendibili, vedere Servizi attendibili.

  I servizi Microsoft seguenti devono essere in una rete virtuale

  • Servizio app di Azure
  • Funzioni di Azure

Usare il portale di Azure

Quando si crea uno spazio dei nomi, è possibile consentire l'accesso solo pubblico (da tutte le reti) o privato (solo tramite endpoint privati) allo spazio dei nomi. Dopo aver creato lo spazio dei nomi, è possibile consentire l'accesso da indirizzi IP specifici o da reti virtuali specifiche (usando gli endpoint servizio di rete).

Configurare l'accesso pubblico durante la creazione di uno spazio dei nomi

Per abilitare l'accesso pubblico, selezionare Accesso pubblico nella pagina Networking della procedura guidata Crea spazio dei nomi.

Dopo aver creato lo spazio dei nomi, selezionare Networking nel menu a sinistra della pagina Spazio dei nomi del bus di servizio. Si noterà che l'opzione Tutte le reti è selezionata. È possibile selezionare l'opzione Reti selezionate e consentire l'accesso da indirizzi IP specifici o reti virtuali specifiche. La sezione successiva fornisce informazioni dettagliate sulla configurazione del firewall IP per specificare gli indirizzi IP da cui è consentito l'accesso.

Configurare il firewall IP per uno spazio dei nomi esistente

Questa sezione illustra come usare il portale di Azure per creare regole del firewall per gli indirizzi IP per uno spazio dei nomi del bus di servizio.

1. Passare allo spazio dei nomi del bus di servizio nel portale di Azure.

2. Nel menu a sinistra selezionare l'opzione Networking in Impostazioni.

   Nota

   Viene visualizzata la scheda Networking solo per gli spazi dei nomi Premium.

3. Nella pagina Networking, in Accesso alla rete pubblica, è possibile impostare una delle tre opzioni seguenti. Scegliere l'opzione Reti selezionate per consentire l'accesso solo dagli indirizzi IP specificati.

   • Disabilitati. Questa opzione disabilita qualsiasi accesso pubblico allo spazio dei nomi. Lo spazio dei nomi è accessibile solo tramite endpoint privati.

     

     Scegliere se si desidera consentire ai servizi Microsoft attendibili di ignorare il firewall. Per l'elenco dei servizi Microsoft attendibili per il Bus di servizio di Azure, vedere la sezione Servizi Microsoft attendibili.

   • Reti selezionate. Questa opzione consente l'accesso pubblico allo spazio dei nomi usando una chiave di accesso dalle reti selezionate.

     Importante

     Se si sceglie Reti selezionate, aggiungere almeno una regola del firewall IP o una rete virtuale che avrà accesso allo spazio dei nomi. Scegliere Disabilitato se si vuole limitare tutto il traffico a questo spazio dei nomi solo su endpoint privati.

   • Tutte le reti (impostazione predefinita). Questa opzione abilita l'accesso pubblico da tutte le reti tramite una chiave di accesso. Se si seleziona l'opzione Tutte le reti, il bus di servizio accetta le connessioni da qualsiasi indirizzo IP (usando la chiave di accesso). Questa impostazione equivale a una regola che accetti l'intervallo di indirizzi IP 0.0.0.0/0.

4. Per consentire l'accesso solo dall'indirizzo IP specificato, selezionare l'opzione Reti selezionate se non è già selezionata. Nella sezione Firewall seguire questa procedura:

   1. Selezionare l'opzione Aggiungere l'indirizzo IP client per concedere all'IP del client corrente l'accesso allo spazio dei nomi.

   2. Per Intervallo di indirizzi immettere un indirizzo IPv4 specifico o un intervallo di indirizzi IPv4 in notazione CIDR.

   3. Specificare se si vuole consentire ai servizi Microsoft attendibili di ignorare il firewall. Per l'elenco dei servizi Microsoft attendibili per il Bus di servizio di Azure, vedere la sezione Servizi Microsoft attendibili.

      Avviso

      Se si seleziona l'opzione Reti selezionate e non si aggiunge almeno una regola del firewall IP o una rete virtuale in questa pagina, è possibile accedere allo spazio dei nomi tramite Internet pubblico (usando la chiave di accesso).

      

5. Selezionare Salva sulla barra degli strumenti per salvare le impostazioni. Attendere qualche minuto la visualizzazione della conferma tra le notifiche del portale.

   Nota

   Per limitare l'accesso a reti virtuali specifiche, vedere Consentire l'accesso da reti specifiche.

Servizi Microsoft attendibili

Quando si abilita l'impostazione Consentire ai servizi Microsoft attendibili di ignorare il firewall?, ai servizi seguenti viene concesso l'accesso alle risorse del bus di servizio.

Gli altri servizi attendibili per il Bus di servizio di Azure sono elencati di seguito:

• Esplora dati di Azure
• Servizi per i dati sanitari di Azure
• Azure Arc
• Azure Kubernetes
• Azure Machine Learning
• Microsoft Purview
• Microsoft Defender for Cloud
• Azure Provider Hub

Usare i modelli di Resource Manager

Questa sezione include un modello di Azure Resource Manager di esempio che aggiunge una rete virtuale e una regola del firewall a uno spazio dei nomi bus di servizio esistente.

ipMask è un singolo indirizzo IPv4 o un blocco di indirizzi IP in notazione CIDR. Ad esempio, nella notazione CIDR, 70.37.104.0/24 rappresenta i 256 indirizzi IPv4, da 70.37.104.0 a 70.37.104.255, con 24 che indica il numero di bit di prefisso significativi per l'intervallo.

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "namespace_name": {
            "defaultValue": "mypremiumnamespace",
            "type": "String"
        }
    },
    "variables": {},
    "resources": [
        {
            "type": "Microsoft.ServiceBus/namespaces",
            "apiVersion": "2022-10-01-preview",
            "name": "[parameters('namespace_name')]",
            "location": "East US",
            "sku": {
                "name": "Premium",
                "tier": "Premium",
                "capacity": 1
            },
            "properties": {
                "premiumMessagingPartitions": 1,
                "minimumTlsVersion": "1.2",
                "publicNetworkAccess": "Enabled",
                "disableLocalAuth": false,
                "zoneRedundant": true
            }
        },
        {
            "type": "Microsoft.ServiceBus/namespaces/networkRuleSets",
            "apiVersion": "2022-10-01-preview",
            "name": "[concat(parameters('namespace_name'), '/default')]",
            "location": "East US",
            "dependsOn": [
                "[resourceId('Microsoft.ServiceBus/namespaces', parameters('namespace_name'))]"
            ],
            "properties": {
                "publicNetworkAccess": "Enabled",
                "defaultAction": "Deny",
                "virtualNetworkRules": [],
                "ipRules": [
                    {
                        "ipMask": "10.1.1.1",
                        "action": "Allow"
                    },
                    {
                        "ipMask": "11.0.0.0/24",
                        "action": "Allow"
                    }
                ]
            }
        }
    ]
}

Per distribuire il modello, seguire le istruzioni per Azure Resource Manager.

Utilizzare l'interfaccia della riga di comando di Azure

Usare az servicebus namespace network-rule-set i comandi add, list, update e remove per gestire le regole del firewall IP per uno spazio dei nomi bus di servizio.

Usare Azure PowerShell

Usare i comandi di Azure PowerShell seguenti per aggiungere, elencare, rimuovere, aggiornare ed eliminare regole del firewall IP.

• New-AzServiceBusIPRuleConfig e Set-AzServiceBusNetworkRuleSet insieme per aggiungere una regola del firewall IP.

Azione predefinita e accesso alla rete pubblica

REST API

Il valore predefinito della proprietà defaultAction è Deny per l'API versione 2021-01-01-preview e versioni precedenti. Tuttavia, la regola di negazione non viene applicata a meno che non si impostino i filtri IP o le regole della rete virtuale. Ciò significa che, se non si dispone di filtri IP o regole di rete virtuale, viene considerato come Allow.

A partire dall'API versione 2021-06-01-e versioni successive, il valore predefinito della proprietà defaultAction è Allow, per riflettere in modo accurato l'imposizione sul lato servizio. Se l'azione predefinita è impostata su Deny, vengono applicati i filtri IP e le regole della rete virtuale. Se l'azione predefinita è impostata su Allow, i filtri IP e le regole della rete virtuale non vengono applicati. Il servizio memorizza le regole quando vengono disattivate e riattivate.

L'API versione 2021-06-01-preview e versioni successive introduce anche una nuova proprietà denominata publicNetworkAccess. Se è impostata su Disabled, le operazioni sono limitate solo ai collegamenti privati. Se è impostata su Enabled, le operazioni sono consentite tramite Internet pubblico.

Per altre informazioni su queste proprietà, creare o aggiornare connessioni endpoint private.

Azure portal

Il portale di Azure usa sempre la versione più recente dell'API per ottenere e impostare le proprietà. Se lo spazio dei nomi è stato configurato in precedenza usando 2021-01-01-preview e versioni precedenti con impostato su Denye le regole zero IP e reti virtuali specificate, il portale avrebbe precedentemente selezionato Reti selezionate nella pagina Rete dello spazio dei nomi.defaultAction Ora controlla l'opzione Tutte le reti.

Passaggi successivi

Per limitare l'accesso al bus di servizio dalle reti virtuali di Azure, vedere il collegamento seguente:

• Usare gli endpoint servizio di rete virtuale con il bus di servizio di Azure