Configurar link privado

O link privado permite que você acesse a API do Azure para FHIR® por meio de um ponto de extremidade privado, que é uma interface de rede que o conecta de forma privada e segura usando um endereço IP privado de sua rede virtual. Com link privado, você pode acessar nossos serviços com segurança a partir de sua rede virtual como um serviço primário sem ter que passar por um Sistema de Nomes de Domínio (DNS) público. Este artigo descreve como criar, testar e gerenciar seu ponto de extremidade privado para a API do Azure para FHIR.

Pré-requisitos

Antes de criar um ponto de extremidade privado, você precisa criar recursos do Azure primeiro.

• Grupo de Recursos – O grupo de recursos do Azure que contém a rede virtual e o ponto de extremidade privado.
• API do Azure para FHIR – O recurso FHIR que você gostaria de colocar atrás de um ponto de extremidade privado.
• Rede Virtual (VNet) – A VNet à qual os serviços do cliente e o Ponto Final Privado estarão conectados.

Para obter mais informações, consulte Documentação de link privado.

Criar ponto de extremidade privado

Para criar um ponto de extremidade privado, um desenvolvedor com permissões RBAC (controle de acesso baseado em função) no recurso FHIR pode usar o portal do Azure, o Azure PowerShell ou a CLI do Azure. Este artigo orienta você pelas etapas de uso do portal do Azure. O portal do Azure é recomendado, pois automatiza a criação e a configuração da Zona DNS Privada. Para obter mais informações, consulte Guias de início rápido de links privados.

Há duas maneiras de criar um ponto de extremidade privado. O fluxo de Aprovação Automática permite que um usuário com permissões RBAC no recurso FHIR crie um ponto de extremidade privado sem a necessidade de aprovação. O fluxo de Aprovação Manual permite que um usuário sem permissões no recurso FHIR solicite que um ponto de extremidade privado seja aprovado pelos proprietários do recurso FHIR.

Aprovação automática

Verifique se a região do novo ponto de extremidade privado é a mesma que a região da sua rede virtual. A região para o seu recurso FHIR pode ser diferente.

Para o tipo de recurso, pesquise e selecione Microsoft.HealthcareApis/services. Para o recurso, selecione o recurso FHIR. Para o subrecurso de destino, selecione FHIR.

Se não tiver uma Zona DNS Privada configurada, selecione (Novo)privatelink.azurehealthcareapis.com. Se já tiver a sua Zona DNS Privada configurada, pode selecioná-la na lista. Deve ser no formato de privatelink.azurehealthcareapis.com.

Depois que a implantação for concluída, você poderá voltar para a guia Conexões de ponto de extremidade privadas, da qual você notará Aprovado como o estado da conexão.

Aprovação Manual

Para aprovação manual, selecione a segunda opção em Recurso, "Conectar-se a um recurso do Azure por ID de recurso ou alias". Para o subrecurso Destino, digite "fhir" como em Aprovação automática.

Após a conclusão da implantação, você pode voltar para a guia "Conexões de ponto de extremidade privadas", na qual você pode Aprovar, Rejeitar ou Remover sua conexão.

VNet Peering

Com o Private Link configurado, você pode acessar o servidor FHIR na mesma VNet ou em uma VNet diferente emparelhada à VNet do servidor FHIR. Use as etapas a seguir para configurar o emparelhamento VNet e a configuração da zona DNS de Link Privado.

Configurar emparelhamento de rede virtual

Você pode configurar o emparelhamento de VNet a partir do portal ou usando PowerShell, scripts CLI e um modelo do Azure Resource Manager (ARM). A segunda VNet pode estar na mesma assinatura ou em assinaturas diferentes, e nas mesmas regiões ou em regiões diferentes. Certifique-se de conceder a função de colaborador da rede. Para obter mais informações sobre emparelhamento de rede virtual, consulte Criar um emparelhamento de rede virtual.

Adicionar link VNet à zona de link privado

No portal do Azure, selecione o grupo de recursos do servidor FHIR. Selecione e abra a zona DNS privado, privatelink.azurehealthcareapis.com. Selecione Links de rede virtual na seção de configurações . Selecione o botão Adicionar para adicionar sua segunda VNet à zona DNS privada. Digite o nome do link de sua escolha, selecione a assinatura e a rede virtual que você criou. Opcionalmente, você pode inserir o ID do recurso para a segunda VNet. Selecione Ativar registro automático, que adiciona automaticamente um registro DNS para sua VM conectada à segunda VNet. Quando você exclui um link de rede virtual, o registro DNS da VM também é excluído.

Para obter mais informações sobre como uma zona DNS de link privado resolve o endereço IP do ponto de extremidade privado para o FQDN (nome de domínio totalmente qualificado) do recurso, como o servidor FHIR, consulte Configuração de DNS do Ponto de Extremidade Privado do Azure.

Você pode adicionar mais links de rede virtual, se necessário, e exibir todos os links de rede virtual adicionados a partir do portal.

Na folha Visão geral, você pode exibir os endereços IP privados do servidor FHIR e as VMs conectadas a redes virtuais emparelhadas.

Gerenciar endpoint privado

Vista

Os pontos de extremidade privados e o controlador de interface de rede (NIC) associado são visíveis no portal do Azure a partir do grupo de recursos em que foram criados.

Delete

Os pontos de extremidade privados só podem ser excluídos do portal do Azure na folha Visão geral ou selecionando a opção Remover na guia Conexões de ponto de extremidade privadas de rede. Selecionar Remover exclui o ponto de extremidade privado e a NIC associada. Se você excluir todos os pontos de extremidade privados para o recurso FHIR e a rede pública, o acesso será desativado e nenhuma solicitação será feita ao seu servidor FHIR.

Testar e solucionar problemas de vinculação privada e emparelhamento de VNet

Para garantir que seu servidor FHIR não esteja recebendo tráfego público depois de desabilitar o acesso à rede pública, selecione o ponto de extremidade /metadata para seu servidor no seu computador. Você deve receber um 403 Proibido.

Criar e usar uma VM

Para garantir que seu ponto de extremidade privado possa enviar tráfego para seu servidor:

1. Crie uma máquina virtual (VM) conectada à rede virtual e à sub-rede em que seu ponto de extremidade privado está configurado. Para garantir que o tráfego da VM esteja usando apenas a rede privada, desative o tráfego de saída da Internet usando a regra NSG (grupo de segurança de rede).
2. RDP na VM.
3. Aceda ao ponto de extremidade /metadata do seu servidor FHIR a partir da VM. Você deve receber a declaração de capacidade como resposta.

Usar nslookup

Você pode usar a ferramenta nslookup para verificar a conectividade. Se o link privado estiver configurado corretamente, você verá que a URL do servidor FHIR é resolvida para o endereço IP privado válido, da seguinte maneira. Observe que o endereço IP 168.63.129.16 é um endereço IP público virtual usado no Azure. Para obter mais informações, consulte O que é o endereço IP 168.63.129.16.

C:\Users\testuser>nslookup fhirserverxxx.azurehealthcareapis.com
Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    fhirserverxxx.privatelink.azurehealthcareapis.com
Address:  172.21.0.4
Aliases:  fhirserverxxx.azurehealthcareapis.com

Se o link privado não estiver configurado corretamente, você poderá ver o endereço IP público e alguns aliases, incluindo o ponto de extremidade do Gerenciador de Tráfego. Isso indica que a zona DNS de link privado não pode ser resolvida para o endereço IP privado válido do servidor FHIR. Quando o emparelhamento de rede virtual é configurado, um motivo possível é que a segunda rede virtual emparelhada não foi adicionada à zona DNS de link privado. Como resultado, você vê o erro HTTP 403, "Acesso a xxx foi negado", ao tentar acessar o ponto de extremidade /metadata do servidor FHIR.

C:\Users\testuser>nslookup fhirserverxxx.azurehealthcareapis.com
Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    xxx.cloudapp.azure.com
Address:  52.xxx.xxx.xxx
Aliases:  fhirserverxxx.azurehealthcareapis.com
          fhirserverxxx.privatelink.azurehealthcareapis.com
          xxx.trafficmanager.net

Para obter mais informações, consulte Solucionar problemas de conectividade do Azure Private Link.

Próximos passos

Neste artigo, você aprendeu como configurar o link privado e o emparelhamento de VNet. Você também aprendeu como solucionar problemas de configurações de link privado e VNet.

Com base na configuração do seu link privado e para obter mais informações sobre como registrar seus aplicativos, consulte o seguinte.

• Registrar um aplicativo de recurso
• Registar uma aplicação cliente confidencial
• Registrar um aplicativo cliente público
• Registrar um aplicativo de serviço