如何安保地衔接到Azure PaaS服务

妇孺皆知，在Azure中预配任何基于PaaS的服务时，它都会附带一个公共的端点。而作为云架构师或安保工程师，您必定从设计的角度，确保此类基于PaaS服务的衔接是安保的。也就是说，为了保障访问公共端点时的安保性，咱们往往须要对服务端点启动加固。

服务端点(Service Endpoint)

详细而言，作为虚构网络的一局部，它须要经过Azure骨干网络上的提升路由，来提供与Azure服务间接且安保的衔接。其中，服务端点能够让虚构网络(vnet)中的私有IP地址，抵达Azure服务的一个端点，而无需经常使用vnet上的公共IP地址。

下图描述了在虚构网络中，一台正在运转的私有虚构机试图访问某个存储帐户。为此，咱们首先须要在已运转的VM的惟一虚构网络中，启用服务端点。

启用服务端点的步骤

第一步：按需在虚构网络上启用服务端点。因为端点上的各种战略都是可选的，因此您可以依据实践需求，过滤那些返回Azure服务的虚构网络流量。

第二步：进入PaaS服务的防火墙或网络设置界面，增加服务端点。

第三步：验证端点服务能否已被启用。

留意事项

1. 在设置服务端点之前，请确保IP防火墙的相应规定已被准许。

2. 衔接到基于PaaS的服务上时，因为服务端点并不支持各种本地资源，因此您必定经常使用本地的NATIP或加快路由的形式。而且，您必定在资源IP防火墙的设置中，准许此类公共IP地址。

3. 关于服务端点而言，可用的基于PaaS的服务包含：Azure存储、Azure数据库服务、Azure Synapse Analytics、AzureKey Vault、Azure服务总线、Azure事情核心、Azure数据湖存储Gen 1、Azure运行服务、以及Azure认知服务。

4. 为了经过服务端点去访问SQL和数据湖服务，vnet和PaaS服务应当位于同一个区域中。

5. 服务端点并不能解析DNS的查问。

值得留意的是，您无需为服务端点支付任何额外的费用，并且创立服务端点的数量也不受任何限度。

私有端点(Private endpoint)

在探讨了服务端点之后，咱们上方来看看私有端点。私有端点会经过经常使用来自虚构网络(vnet)的私有IP地址，有效地将基于PaaS的服务引入虚构网络。咱们可以以为它是一种网络接口，能够安保地衔接到由AzurePrivate Link提供支持的服务处。

下图描述了在虚构网络中，一台正在运转的私有虚构机试图访问某个存储帐户。为此，咱们首先须要为正在运转VM的虚构网络，去设置一个私有端点。

性能私有端点的步骤

第一步：进入PaaS服务，“私有端点创立选项”会出如今防火墙和网络局部中，或作为一个独自的局部被提供。

第二步：Private Link提供了为不同的Azure资源，创立私有端点的选项，其中包含：PrivateLink服务、SQL主机或Azure存储帐户。请选用该私有端点须要衔接的详细资源。

第三步：在此，您必定选用一个虚构网络/子网，并与私有的DNS相集成。同时，您须要经过一个DNS记载，成功与私有端点的衔接。在性能成功后，您便可以创立相应的服务了。

第四步：您可以在“服务 -> 网络”下的虚构网络局部，审核并验证私有端点服务能否已被成功创立，以及能否能够反常运转。

在上述例子中，PrivateLink会基于RBAC的容许，智能同意衔接。当然，生产者(consumer)也有权限去同意或拒绝衔接。目前，私有端点具备四种衔接形态，它们区分是：已同意(提供智能或手动同意)、待定(未收到同意)、已拒绝(未同意)、已断开(衔接已被删除)。

此外，为了部署私有端点或Private Link服务，用户也必定被调配诸如：一切者、奉献者、以及网络奉献者等外置的角色。

至此，咱们仅为存储帐户的blob创立了一个私有端点。假设您须要安保地访问存储帐户的其余资源(例如文件、表或队列等)，那么还须要其余独自的私有端点衔接。

其实，私有端点并不限于公共云，它也能够支持混合云等宽泛的Azure服务。例如，上例中的本地VM，就可以经过代理网络或加快路由，衔接到由PrivateLink提供支持的Azure服务上。

通常，每个私有端点都会经常使用同一子网内的灵活私有IP，来创立一个NIC。而且，私有IP地址的数值，在私有端点的整个生命周期内都是坚持不变的。

与Azure服务端点不同，私有端点须要为端点的创立、以及出入栈数据的处置收取费用。

当然，上述探讨的每一项服务也都会有着如下的限度：

此外，具备Azure安保基准的Azure安保核心，也提供了无关如何包全Azure上各种云端运行和资源的倡导。

小结

总的说来，服务端点带有可公共路由的IP地址，而私有端点则可性能为在虚构网络地址空间中的私有IP。您可以依据实践名目的需求，在服务端点和私有端点之间做出理智的选用。假设您有兴味了解更多无关如何安保地衔接到AzurePaaS服务的常识，请参考 服务演示视频 。