Tjänsttaggar för virtuellt nätverk

En tjänsttagg representerar en grupp IP-adressprefix från en viss Azure-tjänst. Microsoft hanterar adressprefixen som omfattas av tjänsttaggen och uppdaterar automatiskt tjänsttaggen när adresserna ändras, vilket minimerar komplexiteten i frekventa uppdateringar av nätverkssäkerhetsregler.

Du kan använda tjänsttaggar för att definiera nätverksåtkomstkontroller i nätverkssäkerhetsgrupper, Azure Firewall och användardefinierade vägar. Använd tjänsttaggar i stället för specifika IP-adresser när du skapar säkerhetsregler och vägar. Genom att ange namnet på tjänsttaggen, till exempel ApiManagement, i lämpligt käll- eller målfält i en säkerhetsregel, kan du tillåta eller neka trafik för motsvarande tjänst. Genom att ange tjänsttaggens namn i adressprefixet för en väg kan du dirigera trafik som är avsedd för något av prefixen som kapslas in av tjänsttaggen till en önskad nästa hopptyp.

Du kan använda tjänsttaggar för att uppnå nätverksisolering och skydda dina Azure-resurser från det allmänna Internet vid åtkomst till Azure-tjänster som har offentliga slutpunkter. Skapa regler för inkommande/utgående nätverkssäkerhetsgrupp för att neka trafik till/från Internet och tillåta trafik till/från AzureCloud eller andra tillgängliga tjänsttaggar för specifika Azure-tjänster.

Tillgängliga tjänsttaggar

Följande tabell innehåller alla tjänsttaggar som är tillgängliga för användning i regler för nätverkssäkerhetsgrupper .

Kolumnerna anger om taggen:

• Passar för regler som täcker inkommande eller utgående trafik.
• Stöder regionalt omfång.
• Kan endast användas i Azure Firewall-regler som målregel för inkommande eller utgående trafik.

Som standard återspeglar tjänsttaggar intervallen för hela molnet. Vissa tjänsttaggar tillåter också mer detaljerad kontroll genom att begränsa motsvarande IP-intervall till en angiven region. Tjänsttaggen Storage representerar till exempel Azure Storage för hela molnet, men Storage.WestUS begränsar intervallet till endast lagrings-IP-adressintervallen från regionen WestUS. I följande tabell visas om varje tjänsttagg stöder ett sådant regionalt omfång och riktningen för varje tagg är en rekommendation. AzureCloud-taggen kan till exempel användas för att tillåta inkommande trafik. I de flesta scenarier rekommenderar vi inte att du tillåter trafik från alla Azure-IP-adresser eftersom IP-adresser som används av andra Azure-kunder ingår som en del av tjänsttaggen.

Taggar som stöds i den klassiska distributionsmodellen

Den klassiska distributionsmodellen (före Azure Resource Manager) stöder en liten delmängd av taggarna som anges i föregående tabell. Taggarna i den klassiska distributionsmodellen stavas på olika sätt, enligt följande tabell:

Taggar som inte stöds för användardefinierade vägar (UDR)

Följande är en lista över taggar som för närvarande inte stöds för användning med användardefinierade vägar (UDR).

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• Internet

Tjänsttaggar lokalt

Du kan hämta den aktuella tjänsttaggen och intervallinformationen som ska inkluderas som en del av dina lokala brandväggskonfigurationer. Den här informationen är den aktuella punkt-i-tid-listan över IP-intervall som motsvarar varje tjänsttagg. Du kan hämta informationen programmatiskt eller via en JSON-filnedladdning enligt beskrivningen i följande avsnitt.

Använda API:et för identifiering av tjänsttagg

Du kan programmatiskt hämta den aktuella listan över tjänsttaggar tillsammans med INFORMATION om IP-adressintervall:

• REST

• Azure PowerShell

• Azure CLI

Om du till exempel vill hämta alla prefix för lagringstjänsttaggen kan du använda följande PowerShell-cmdletar:

$serviceTags = Get-AzNetworkServiceTag -Location eastus2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

Identifiera tjänsttaggar med hjälp av nedladdningsbara JSON-filer

Du kan ladda ned JSON-filer som innehåller den aktuella listan över tjänsttaggar tillsammans med INFORMATION om IP-adressintervall. Dessa listor uppdateras och publiceras varje vecka. Platser för varje moln är:

• Azure Public

• Azure US Government

• Microsoft Azure drivs av 21Vianet

• Azure Tyskland

IP-adressintervallen i dessa filer finns i CIDR-notation.

Följande AzureCloud-taggar har inte regionala namn formaterade enligt det normala schemat:

• AzureCloud.centralfrance (FranceCentral)

• AzureCloud.southfrance (FranceSouth)

• AzureCloud.germanywc (GermanyWestCentral)

• AzureCloud.germanyn (GermanyNorth)

• AzureCloud.norwaye (NorwayEast)

• AzureCloud.norwayw (NorwayWest)

• AzureCloud.switzerlandn (SwitzerlandNorth)

• AzureCloud.switzerlandw (SwitzerlandWest)

• AzureCloud.usstagee (EastUSSTG)

• AzureCloud.usstagec (SouthCentralUSSTG)

• AzureCloud.brazilse (BrazilSoutheast)

Nästa steg

• Lär dig hur du skapar en nätverkssäkerhetsgrupp.