Руководство. Подключение к учетной записи хранения с помощью частной конечной точки Azure.

  • Статья

Частная конечная точка Azure — ключевой компонент для построения Приватного канала в Azure. Это позволяет ресурсам Azure, таким как виртуальные машины, конфиденциально и безопасно обмениваться данными с ресурсами Приватного канала, например со службой хранилища Azure.

Схема ресурсов, созданных в руководстве.

В этом руководстве описано следующее:

  • Создание виртуальной сети и узла бастиона.
  • Создайте учетную запись хранения и отключите общедоступный доступ.
  • Создайте частную конечную точку для учетной записи хранения.
  • Создайте виртуальную машину.
  • Проверка подключения к частной конечной точке учетной записи хранения.

Необходимые компоненты

Вход в Azure

Войдите на портал Azure.

Создание виртуальной сети и узла Бастиона Azure

Следующая процедура создает виртуальную сеть с подсетью ресурсов, подсетью Бастиона Azure и узлом Бастиона:

  1. На портале найдите и выберите "Виртуальные сети".

  2. На странице Виртуальные сети выберите команду + Создать.

  3. На вкладке "Основы" создайте виртуальную сеть, введите или выберите следующие сведения:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выберите Создать.
    Введите test-rg для имени.
    Нажмите кнопку ОК.
    Сведения об экземпляре
    Имя. Введите vnet-1.
    Область/регион Выберите регион Восточная часть США 2.

    Снимок экрана: вкладка

  4. Нажмите кнопку "Далее ", чтобы перейти на вкладку "Безопасность ".

  5. В разделе "Бастион Azure" выберите "Включить Бастион Azure".

    Бастион использует браузер для подключения к виртуальным машинам в виртуальной сети через Secure Shell (SSH) или протокол удаленного рабочего стола (RDP) с помощью частных IP-адресов. Виртуальные машины не нуждаются в общедоступных IP-адресах, клиентском программном обеспечении или специальной конфигурации. Подробные сведения см. в статье Что такое Бастион Azure?

    Примечание.

    Почасовая цена начинается с момента развертывания Бастиона независимо от использования исходящих данных. Дополнительные сведения см. в разделе "Цены и номера SKU". Если вы развертываете Бастион в рамках руководства или теста, рекомендуется удалить этот ресурс после завершения работы с ним.

  6. В Бастионе Azure введите или выберите следующие сведения:

    Параметр Значение
    Имя узла Бастиона Azure Введите бастион.
    Общедоступный IP-адрес Бастиона Azure Выберите " Создать общедоступный IP-адрес".
    Введите public-ip-бастион в поле "Имя".
    Нажмите кнопку ОК.

    Снимок экрана: параметры включения узла Бастиона Azure в рамках создания виртуальной сети в портал Azure.

  7. Нажмите кнопку "Рядом ", чтобы перейти на вкладку IP-адресов .

  8. В поле адресного пространства в подсетях выберите подсеть по умолчанию .

  9. В разделе "Изменить подсеть" введите или выберите следующие сведения:

    Параметр Значение
    Назначение подсети Оставьте значение по умолчанию по умолчанию.
    Имя. Введите подсеть-1.
    IРv4
    Диапазон адресов IPv4 Оставьте значение по умолчанию 10.0.0.0/16.
    Начальный адрес Оставьте значение по умолчанию 10.0.0.0.
    Размер Оставьте значение по умолчанию /24 (256 адресов).

    Снимок экрана: сведения о конфигурации для подсети.

  10. Выберите Сохранить.

  11. Выберите "Проверка и создание " в нижней части окна. После завершения проверки нажмите кнопку Создать.

Создание учетной записи хранилища

Создайте учетную запись служба хранилища Azure для действий, описанных в этой статье. Если у вас уже есть учетная запись хранения, ее можно использовать.

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Выберите + Создать.

  3. На вкладке "Основные сведения" в разделе "Создание учетной записи хранения" введите или выберите следующие сведения:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку Azure.
    Группа ресурсов Выберите test-rg.
    Сведения об экземпляре
    Storage account name Введите storage1. Если имя недоступно, введите уникальное имя.
    Расположение Выберите регион (США) Восточная часть США 2.
    Производительность Оставьте значение по умолчанию Стандартная.
    Избыточность Выберите Локально избыточное хранилище (LRS).

  4. Щелкните элемент Review (Проверить).

  5. Нажмите кнопку создания.

Отключение общедоступного доступа к учетной записи хранения

Перед созданием частной конечной точки рекомендуется отключить общедоступный доступ к учетной записи хранения. Чтобы отключить общедоступный доступ к учетной записи хранения, выполните следующие действия.

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Выберите хранилище1 или имя существующей учетной записи хранения.

  3. В разделе "Безопасность и сеть" выберите "Сеть".

  4. На вкладке "Брандмауэры и виртуальные сети" в общедоступном сетевом доступе выберите "Отключено".

  5. Выберите Сохранить.

Создание частной конечной точки

  1. В поле поиска в верхней части портала введите Частная конечная точка. Выберите Частные конечные точки.

  2. Выберите + Создать в разделе Частные конечные точки.

  3. На вкладке Основы в окне Создание частной конечной точки введите или выберите следующую информацию:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выбор test-rg
    Сведения об экземпляре
    Имя. Введите частную конечную точку.
    Имя сетевого интерфейса Оставьте значение по умолчанию частной конечной точки-nic.
    Область/регион Выберите регион Восточная часть США 2.

  4. По завершении выберите Далее: Ресурс.

  5. В области Ресурс введите или выберите следующие значения параметров.

    Параметр Значение
    Способ подключения Оставьте значение по умолчанию Подключиться к ресурсу Azure в моем каталоге
    Отток подписок Выберите свою подписку.
    Тип ресурса Выберите Microsoft.Storage/storageAccounts.
    Ресурс Выберите storage-1 или учетную запись хранения.
    Целевой подресурс Выберите большой двоичный объект.

  6. Выберите Далее: Виртуальная сеть.

  7. В диалоговом окне Виртуальная сеть введите или выберите следующие данные.

    Параметр Значение
    Сеть
    Виртуальная сеть Выберите vnet-1 (test-rg).
    Подсеть Выберите подсеть-1.
    Сетевая политика для частных конечных точек Выберите изменение , чтобы применить политику сети для частных конечных точек.
    В разделе "Изменение политики сети подсети" установите флажок рядом с группами безопасности сети и таблицами маршрутизации в параметре "Политики сети" для всех частных конечных точек в этой подсети.
    Нажмите кнопку "Сохранить".

    Дополнительные сведения см. в разделе "Управление политиками сети для частных конечных точек"
    Параметр Значение
    Конфигурация частного IP-адреса Выберите Динамическое выделение IP-адреса.

    Снимок экрана: выбор динамического IP-адреса.

  8. Выберите Далее: DNS.

  9. В разделе DNS оставьте значения по умолчанию. Выберите Далее: теги, а затем — Далее: просмотр и создание.

  10. Нажмите кнопку создания.

Создание тестовой виртуальной машины

Следующая процедура создает тестовую виртуальную машину с именем vm-1 в виртуальной сети.

  1. На портале найдите и выберите "Виртуальные машины".

  2. На виртуальных машинах нажмите кнопку +Создать, а затем виртуальную машину Azure.

  3. На вкладке Основные сведения страницы Создание виртуальной машины введите или выберите следующие значения параметров:

    Параметр Значение
    Сведения о проекте
    Отток подписок Выберите свою подписку.
    Группа ресурсов Выберите test-rg.
    Сведения об экземпляре
    Virtual machine name Введите vm-1.
    Область/регион Выберите регион Восточная часть США 2.
    Параметры доступности Выберите Избыточность инфраструктуры не требуется.
    Тип безопасности Оставьте значение по умолчанию Стандартный.
    Изображения Выберите Windows Server 2022 Datacenter — x64-го поколения 2-го поколения.
    Архитектура виртуальной машины Оставьте значение по умолчанию x64.
    Размер Выберите размер.
    Учетная запись администратора
    Тип аутентификации выберите Пароль.
    Username Введите azureuser.
    Пароль Введите пароль.
    Подтверждение пароля Повторно введите пароль.
    Правила входящего порта
    Общедоступные входящие порты Выберите Отсутствует.

  4. Выберите вкладку "Сеть" в верхней части страницы.

  5. На вкладке Сеть введите или выберите следующие значения параметров:

    Параметр Значение
    Сетевой интерфейс
    Виртуальная сеть Выберите виртуальную сеть-1.
    Подсеть Выберите подсеть-1 (10.0.0.0/24).
    Общедоступный IP-адрес Выберите Отсутствует.
    Группа безопасности сети сетевого адаптера Выберите Дополнительно.
    Настройка группы безопасности сети Выберите Создать.
    Введите nsg-1 для имени.
    Оставьте остальные значения по умолчанию и нажмите кнопку "ОК".

  6. Оставьте остальные параметры по умолчанию и нажмите кнопку "Просмотр и создание".

  7. Проверьте параметры и выберите Создать.

Примечание.

Виртуальные машины в виртуальной сети с узлом бастиона не требуют общедоступных IP-адресов. Бастион предоставляет общедоступный IP-адрес, а виртуальные машины используют частные IP-адреса для обмена данными в сети. Вы можете удалить общедоступные IP-адреса из любых виртуальных машин в размещенных виртуальных сетях бастиона. Дополнительные сведения см. в разделе "Отсообщение общедоступного IP-адреса" с виртуальной машины Azure.

Примечание.

Azure предоставляет IP-адрес исходящего доступа по умолчанию для виртуальных машин, которые либо не назначены общедоступным IP-адресом, либо находятся в серверном пуле внутренней подсистемы балансировки нагрузки Azure. Механизм IP-адреса исходящего трафика по умолчанию предоставляет исходящий IP-адрес, который нельзя настроить.

IP-адрес исходящего доступа по умолчанию отключен при возникновении одного из следующих событий:

  • Общедоступный IP-адрес назначается виртуальной машине.
  • Виртуальная машина размещается в серверном пуле стандартной подсистемы балансировки нагрузки с правилами исходящего трафика или без нее.
  • Ресурс шлюза NAT Azure назначается подсети виртуальной машины.

Виртуальные машины, созданные с помощью масштабируемых наборов виртуальных машин в гибком режиме оркестрации, не имеют исходящего доступа по умолчанию.

Дополнительные сведения об исходящих подключениях в Azure см. в статье об исходящем доступе по умолчанию в Azure и использовании преобразования исходящих сетевых адресов (SNAT) для исходящих подключений.

Ключ доступа к хранилищу

Ключ доступа к хранилищу необходим для последующих шагов. Перейдите к созданной ранее учетной записи хранения и скопируйте строка подключения с ключом доступа для учетной записи хранения.

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Выберите учетную запись хранения, созданную на предыдущих шагах или существующей учетной записи хранения.

  3. На странице учетной записи хранения в разделе Безопасность + сеть выберите Ключи доступа.

  4. Выберите "Показать", а затем нажмите кнопку "Копировать" в строке подключения для key1.

Добавление контейнера больших двоичных объектов

  1. В поле поиска в верхней части портала введите Учетная запись хранения. Выбор Учетные записи хранения в результатах поиска.

  2. Выберите учетную запись хранения, созданную на предыдущих шагах.

  3. В разделе Хранилище данных выберите Контейнеры.

  4. Выберите + Контейнер, чтобы создать контейнер.

  5. Введите контейнер в имя и выберите "Частный" (без анонимного доступа) на уровне общедоступного доступа.

  6. Нажмите кнопку создания.

Проверка подключения к частной конечной точке

В этом разделе описано, как использовать виртуальную машину, созданную на предыдущих шагах, для подключения к учетной записи хранения через частную конечную точку с помощью обозревателя служба хранилища Microsoft Azure.

  1. В поле поиска в верхней части портала введите Виртуальная машина. В результатах поиска выберите Виртуальные машины.

  2. Выберите vm-1.

  3. В операциях выберите Бастион.

  4. Введите имя пользователя и пароль, указанные при создании виртуальной машины.

  5. Нажмите Подключиться.

  6. После подключения откройте на сервере Windows PowerShell.

  7. Введите nslookup <storage-account-name>.blob.core.windows.net. Замените элемент <storage-account-name> именем учетной записи хранения, созданной в предыдущих шагах. В следующем примере показаны выходные данные команды.

    Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    storage1.privatelink.blob.core.windows.net
Address:  10.0.0.10
Aliases:  mystorageaccount.blob.core.windows.net

    Частный IP-адрес 10.0.0.10 возвращается для имени учетной записи хранения. Этот адрес находится в подсети-1 подсети виртуальной сети-1, созданной ранее.

  8. Установите Обозреватель службы хранилища Microsoft Azure на виртуальной машине.

  9. После установки Обозревателя службы хранилища Microsoft Azure нажмите кнопку Готово. Оставьте флажок установленным, чтобы открыть приложение.

  10. Выберите символ Power Plug, чтобы открыть диалоговое окно "Выбор ресурса" на панели инструментов слева.

  11. В разделе "Выбор ресурса" выберите учетную запись хранения или службу, чтобы добавить соединение в служба хранилища Microsoft Azure Explorer в учетную запись хранения, созданную на предыдущих шагах.

  12. На экране Выбор метода подключения выберите Строка подключения и нажмите кнопку Далее.

  13. В поле Строка подключениявставьте строку подключения из учетной записи хранения, скопированную на предыдущих шагах. Имя учетной записи хранения автоматически заполняется в поле под отображаемым именем.

  14. Выберите Далее.

  15. В разделе Сводка убедитесь, что параметры заданы правильно.

  16. Выберите Подключиться.

  17. Выберите учетную запись хранения из учетных записей хранения в меню обозревателя.

  18. Разверните учетную запись хранения и контейнеры BLOB-объектов.

  19. Отображается созданный ранее контейнер .

  20. Закройте подключение к vm-1.

Завершив использование созданных ресурсов, можно удалить группу ресурсов и все ее ресурсы.

  1. Войдите на портал Azure; найдите в поиске и выберите Группы ресурсов.

  2. На странице групп ресурсов выберите группу ресурсов test-rg.

  3. На странице test-rg выберите "Удалить группу ресурсов".

  4. Введите test-rg в поле Ввод имени группы ресурсов, чтобы подтвердить удаление, а затем нажмите кнопку "Удалить".

Следующие шаги

Из этого руководства вы узнали, как создать следующее:

  • виртуальную сеть и узел-бастион;

  • виртуальную машину;

  • учетную запись хранения и контейнер.

Узнайте, как подключиться к учетной записи Azure Cosmos DB с помощью частной конечной точки Azure:

Подключение к Azure Cosmos DB с помощью частной конечной точки