Gerenciar pontos de extremidade privados do Azure

Os pontos de extremidade privados do Azure têm várias opções para gerenciar sua configuração e implantação.

Você pode determinar GroupId e MemberName valores consultando o recurso de Link Privado do Azure. Você precisa dos valores e MemberName para configurar um endereço IP estático para um ponto de extremidade privado durante a GroupId criação.

Um ponto de extremidade privado tem duas propriedades personalizadas: endereço IP estático e nome da interface de rede. Essas propriedades devem ser definidas quando o ponto de extremidade privado é criado.

Com um provedor de serviços e a implantação do Private Link pelo consumidor, um processo de aprovação está em vigor para fazer a conexão.

Determinar GroupID e MemberName

Durante a criação de um ponto de extremidade privado com o Azure PowerShell e a CLI do Azure, os GroupId valores e MemberName do recurso de ponto de extremidade privado podem ser necessários.

• GroupId é o subrecurso do ponto de extremidade privado.
• MemberName é o carimbo exclusivo para o endereço IP privado do ponto de extremidade.

Para obter mais informações sobre subrecursos de ponto de extremidade privado e seus valores, consulte Recurso de link privado.

Para determinar os valores de e MemberName para seu recurso de ponto de GroupId extremidade privado, use os comandos a seguir. MemberName está contida dentro da RequiredMembers propriedade.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Propriedades personalizadas

A renomeação da interface de rede e a atribuição de endereço IP estático são propriedades personalizadas que você pode definir em um ponto de extremidade privado durante a criação.

Renomeação da interface de rede

Por padrão, quando um ponto de extremidade privado é criado, a interface de rede associada ao ponto de extremidade privado recebe um nome aleatório para sua interface de rede. A interface de rede deve ser nomeada quando o ponto de extremidade privado é criado. Não há suporte para a renomeação da interface de rede de um ponto de extremidade privado existente.

Use os comandos a seguir ao criar um ponto de extremidade privado para renomear a interface de rede.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Endereço IP estático

Por padrão, quando um ponto de extremidade privado é criado, o endereço IP do ponto de extremidade é atribuído automaticamente. O IP é atribuído a partir do intervalo de IP da rede virtual configurada para o ponto de extremidade privado. Uma situação pode surgir quando um endereço IP estático para o ponto de extremidade privado é necessário. O endereço IP estático deve ser atribuído quando o ponto de extremidade privado é criado. A configuração de um endereço IP estático para um ponto de extremidade privado existente não é suportada no momento.

Para obter procedimentos para configurar um endereço IP estático ao criar um ponto de extremidade privado, consulte Criar um ponto de extremidade privado usando o Azure PowerShell e Criar um ponto de extremidade privado usando a CLI do Azure.

Ligações de ponto final privado

O Private Link funciona em um modelo de aprovação em que o consumidor do Private Link pode solicitar uma conexão com o provedor de serviços para consumir o serviço.

O prestador de serviços pode então decidir se permite ou não que o consumidor se ligue. O Private Link permite que os provedores de serviços gerenciem a conexão de ponto final privado em seus recursos.

Há dois métodos de aprovação de conexão que um consumidor de Link Privado pode escolher:

• Automático: se o consumidor de serviço tiver permissões RBAC (controle de acesso baseado em função) do Azure no recurso do provedor de serviços, o consumidor poderá escolher o método de aprovação automática. Quando a solicitação chega ao recurso do provedor de serviços, nenhuma ação é necessária do provedor de serviços e a conexão é aprovada automaticamente.

• Manual: Se o consumidor de serviços não tiver permissões RBAC no recurso do provedor de serviços, poderá escolher o método de aprovação manual. A solicitação de conexão aparece nos recursos do serviço como Pendente. O provedor de serviços tem que aprovar manualmente a solicitação antes que as conexões possam ser estabelecidas.

  Em casos manuais, o consumidor de serviços também pode especificar uma mensagem com a solicitação para fornecer mais contexto ao provedor de serviços. O provedor de serviços tem as seguintes opções para escolher para todas as conexões de ponto de extremidade privadas: Aprovar, Rejeitar e Remover.

A tabela a seguir mostra as várias ações do provedor de serviços e os estados de conexão resultantes para pontos de extremidade privados. O provedor de serviços pode alterar o estado da conexão posteriormente sem a intervenção do consumidor. A ação atualiza o estado do ponto de extremidade no lado do consumidor.

Gerenciar conexões de ponto de extremidade privado em recursos de PaaS do Azure

Use as etapas a seguir para gerenciar uma conexão de ponto de extremidade privada no portal do Azure.

1. Inicie sessão no portal do Azure.

2. Na caixa de pesquisa na parte superior do portal, digite Link privado. Nos resultados da pesquisa, selecione Link privado.

3. No Centro de Link Privado, selecione Pontos de extremidade privados ou Serviços de link privado.

4. Para cada um dos seus pontos de extremidade, você pode visualizar o número de conexões de ponto de extremidade privadas associadas a ele. Você pode filtrar os recursos conforme necessário.

5. Selecione o ponto de extremidade privado. Nas conexões listadas, selecione a conexão que você deseja gerenciar.

6. Você pode alterar o estado da conexão selecionando entre as opções na parte superior.

Gerencie conexões de ponto de extremidade privadas em um serviço Private Link de propriedade do cliente ou parceiro

Use os seguintes comandos do PowerShell e da CLI do Azure para gerenciar conexões de ponto de extremidade privadas em serviços de parceiros da Microsoft ou serviços de propriedade do cliente.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Próximos passos

• Saiba mais sobre endpoints privados