Konfigurace privátních koncových bodů pro témata nebo domény Azure Event Grid

Článek
05/02/2022
10 min ke čtení

Pomocí privátních koncových bodů můžete povolit příchozí přenos událostí přímo z vaší virtuální sítě do vašich témat a domén bezpečně přes privátní propojení, aniž byste museli procházet veřejným internetem. Privátní koncový bod používá IP adresu z adresního prostoru virtuální sítě pro vaše téma nebo doménu. Další koncepční informace najdete v tématu Zabezpečení sítě.

Tento článek popisuje, jak nakonfigurovat privátní koncové body pro témata nebo domény.

Použití webu Azure Portal

V této části se dozvíte, jak pomocí Azure Portal vytvořit privátní koncový bod pro téma nebo doménu.

Poznámka

Kroky uvedené v této části jsou většinou určené pro témata. Podobné kroky můžete použít k vytvoření privátních koncových bodů pro domény.

Při vytváření nového tématu

V této části se dozvíte, jak povolit přístup k privátní síti pro téma event Gridu nebo doménu. Podrobné pokyny k vytvoření nového tématu najdete v tématu Vytvoření vlastního tématu.

Na stránce Základy průvodce vytvořením tématu vyberte Další: Sítě v dolní části stránky po vyplnění požadovaných polí.
Pokud chcete povolit přístup k tématu Event Gridu prostřednictvím privátního koncového bodu, vyberte možnost Privátní přístup .
Postup přidání privátního koncového bodu najdete v další části.

Pro existující téma

Přihlaste se k Azure Portal a přejděte k tématu nebo doméně.
Přepněte na kartu Sítě na stránce tématu. Na kartě Veřejný přístup vyberte pouze privátní koncové body.
Přepněte na kartu Připojení privátního koncového bodu a pak na panelu nástrojů vyberte + Privátní koncový bod .
Na stránce Základy postupujte takto:
1. Vyberte předplatné Azure , ve kterém chcete privátní koncový bod vytvořit.
2. Vyberte skupinu prostředků Azure pro privátní koncový bod.
3. Zadejte název koncového bodu.
4. Vyberte oblast koncového bodu. Privátní koncový bod musí být ve stejné oblasti jako vaše virtuální síť, ale může být v jiné oblasti než prostředek privátního propojení (v tomto příkladu téma event gridu).
5. Pak vyberte tlačítko Další: Prostředek > v dolní části stránky.
Na stránce Prostředek postupujte takto:
1. Pokud v adresáři vyberete Připojení k prostředku Azure, postupujte následovně. Tento příklad ukazuje, jak se připojit k prostředku Azure ve vašem adresáři.
  1. Vyberte předplatné Azure , ve kterém existuje vaše téma nebo doména .
  2. Jako typ prostředku vyberte Microsoft.EventGrid/topics nebo Microsoft.EventGrid/domains pro typ prostředku.
  3. Jako prostředek vyberte v rozevíracím seznamu téma nebo doménu.
  4. Ověřte, že je podsourc cíle nastavený na téma nebo doménu (na základě vybraného typu prostředku).
  5. Vyberte Další: Virtual Network > tlačítko v dolní části stránky.
2. Pokud vyberete Připojení k prostředku pomocí ID prostředku nebo aliasu, postupujte takto:
  1. Zadejte ID prostředku. Příklad: /subscriptions/<AZURE SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventGrid/topics/<EVENT GRID TOPIC NAME>.
  2. Jako prostředek zadejte téma nebo doménu.
  3. (volitelné) Přidejte zprávu žádosti.
  4. Vyberte Další: Virtual Network > tlačítko v dolní části stránky.
Na stránce Virtual Network vyberete podsíť ve virtuální síti, do které chcete privátní koncový bod nasadit.
1. Vyberte virtuální síť. V rozevíracím seznamu jsou uvedené pouze virtuální sítě v aktuálně vybraném předplatném a umístění.
2. Vyberte podsíť ve virtuální síti, kterou jste vybrali.
3. Vyberte Další: Tlačítko Značky > v dolní části stránky.
Na stránce Značky vytvořte všechny značky (názvy a hodnoty), které chcete přidružit k prostředku privátního koncového bodu. Pak v dolní části stránky vyberte Tlačítko Zkontrolovat a vytvořit .
Na kartě Zkontrolovat a vytvořit zkontrolujte všechna nastavení a výběrem možnosti Vytvořit vytvořte privátní koncový bod.

Správa připojení privátního propojení

Při vytváření privátního koncového bodu musí být připojení schváleno. Pokud je prostředek, pro který vytváříte privátní koncový bod, ve vašem adresáři, můžete schválit žádost o připojení za předpokladu, že máte dostatečná oprávnění. Pokud se připojujete k prostředku Azure v jiném adresáři, musíte počkat, až vlastník tohoto prostředku schválí vaši žádost o připojení.

Existují čtyři stavy zřizování:

Akce služby	Stav privátního koncového bodu příjemce služby	Description
Žádná	Čekající	Připojení se vytvoří ručně a čeká na schválení od vlastníka prostředku private Link.
Schválení	Schválené	Připojení bylo automaticky nebo ručně schváleno a je připravené k použití.
Odmítnout	Zamítnuto	Vlastník prostředku privátního propojení odmítl připojení.
Odebrat	Odpojeno	Vlastník prostředku privátního propojení odebral připojení, privátní koncový bod se stane informativním a měl by se odstranit pro vyčištění.

Správa připojení privátního koncového bodu

Následující části ukazují, jak schválit nebo odmítnout připojení privátního koncového bodu.

Přihlaste se k webu Azure Portal.
Na panelu hledání zadejte témata Event Gridu nebo domény Event Gridu.
Vyberte téma nebo doménu , kterou chcete spravovat.
Vyberte kartu Sítě.
Pokud existují nějaká připojení čekající na vyřízení, zobrazí se v seznamu připojení čekající na vyřízení ve stavu zřizování.

Schválení privátního koncového bodu

Můžete schválit privátní koncový bod, který je ve stavu čekání. Pokud chcete schválit, postupujte takto:

Poznámka

Kroky uvedené v této části jsou většinou určené pro témata. Podobné kroky můžete použít ke schválení privátních koncových bodů pro domény.

Vyberte privátní koncový bod , který chcete schválit, a na panelu nástrojů vyberte Schválit .
V dialogovém okně Schválit připojení zadejte komentář (volitelné) a vyberte Ano.
Potvrďte, že se zobrazí stav koncového bodu jako schváleno.

Odmítnutí privátního koncového bodu

Privátní koncový bod, který je ve stavu čekání nebo schváleném stavu, můžete odmítnout. Pokud chcete odmítnout, postupujte takto:

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít k odmítnutí privátních koncových bodů pro domény.

Vyberte privátní koncový bod , který chcete odmítnout, a na panelu nástrojů vyberte Odmítnout .
V dialogovém okně Odmítnout připojení zadejte komentář (volitelné) a vyberte Ano.
Potvrďte, že se zobrazí stav koncového bodu jako odmítnutý.

Poznámka

Po zamítnutí nejde v Azure Portal schválit privátní koncový bod.

Použití Azure CLI

K vytvoření privátního koncového bodu použijte metodu az network private-endpoint create , jak je znázorněno v následujícím příkladu:

az network private-endpoint create \
    --resource-group <RESOURECE GROUP NAME> \
    --name <PRIVATE ENDPOINT NAME> \
    --vnet-name <VIRTUAL NETWORK NAME> \
    --subnet <SUBNET NAME> \
    --private-connection-resource-id "/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventGrid/topics/<TOPIC NAME> \
    --connection-name <PRIVATE LINK SERVICE CONNECTION NAME> \
    --location <LOCATION> \
    --group-ids topic

Popis parametrů použitých v příkladu najdete v dokumentaci k příkazu az network private-endpoint create. V tomto příkladu je potřeba uvést několik bodů:

Zadejte private-connection-resource-idID prostředku tématu nebo domény. Předchozí příklad používá typ: téma.
pro group-ids, zadejte topic nebo domain. V předchozím příkladu topic se používá.

Pokud chcete odstranit privátní koncový bod, použijte metodu az network private-endpoint delete , jak je znázorněno v následujícím příkladu:

az network private-endpoint delete --resource-group <RESOURECE GROUP NAME> --name <PRIVATE ENDPOINT NAME>

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít k vytvoření privátních koncových bodů pro domény.

Požadavky

Spuštěním následujícího příkazu aktualizujte rozšíření Azure Event Grid pro rozhraní příkazového řádku:

az extension update -n eventgrid

Pokud rozšíření není nainstalované, nainstalujte ho spuštěním následujícího příkazu:

az extension add -n eventgrid

Vytvoření privátního koncového bodu

K vytvoření privátního koncového bodu použijte metodu az network private-endpoint create , jak je znázorněno v následujícím příkladu:

az network private-endpoint create \
    --resource-group <RESOURECE GROUP NAME> \
    --name <PRIVATE ENDPOINT NAME> \
    --vnet-name <VIRTUAL NETWORK NAME> \
    --subnet <SUBNET NAME> \
    --private-connection-resource-id "/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventGrid/topics/<TOPIC NAME> \
    --connection-name <PRIVATE LINK SERVICE CONNECTION NAME> \
    --location <LOCATION> \
    --group-ids topic

Popis parametrů použitých v příkladu najdete v dokumentaci k příkazu az network private-endpoint create. V tomto příkladu je potřeba uvést několik bodů:

Zadejte private-connection-resource-idID prostředku tématu nebo domény. Předchozí příklad používá typ: téma.
pro group-ids, zadejte topic nebo domain. V předchozím příkladu topic se používá.

Pokud chcete odstranit privátní koncový bod, použijte metodu az network private-endpoint delete , jak je znázorněno v následujícím příkladu:

az network private-endpoint delete --resource-group <RESOURECE GROUP NAME> --name <PRIVATE ENDPOINT NAME>

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít k vytvoření privátních koncových bodů pro domény.

Ukázkový skript

Tady je ukázkový skript, který vytvoří následující prostředky Azure:

Skupina prostředků
Virtuální síť
Podsíť ve virtuální síti
téma Azure Event Grid
Privátní koncový bod tématu

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít k vytvoření privátních koncových bodů pro domény.

subscriptionID="<AZURE SUBSCRIPTION ID>"
resourceGroupName="<RESOURCE GROUP NAME>"
location="<LOCATION>"
vNetName="<VIRTUAL NETWORK NAME>"
subNetName="<SUBNET NAME>"
topicName = "<TOPIC NAME>"
connectionName="<ENDPOINT CONNECTION NAME>"
endpointName=<ENDPOINT NAME>

# resource ID of the topic. replace <SUBSCRIPTION ID>, <RESOURCE GROUP NAME>, and <TOPIC NAME> 
# topicResourceID="/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventGrid/topics/<TOPIC NAME>"

# select subscription
az account set --subscription $subscriptionID

# create resource group
az group create --name $resourceGroupName --location $location

# create vnet 
az network vnet create \
    --resource-group $resourceGroupName \
    --name $vNetName \
    --address-prefix 10.0.0.0/16

# create subnet
az network vnet subnet create \
    --resource-group $resourceGroupName \
    --vnet-name $vNetName \
    --name $subNetName \
    --address-prefixes 10.0.0.0/24

# disable private endpoint network policies for the subnet
az network vnet subnet update \
    --resource-group $resourceGroupName \
    --vnet-name $vNetName \
    --name $subNetName \
    --disable-private-endpoint-network-policies true

# create event grid topic. update <LOCATION>
az eventgrid topic create \
    --resource-group $resourceGroupName \
    --name $topicName \
    --location $location

# verify that the topic was created.
az eventgrid topic show \
    --resource-group $resourceGroupName \
    --name $topicName

# create private endpoint for the topic you created
az network private-endpoint create \
    --resource-group $resourceGroupName \
    --name $endpointName \
    --vnet-name $vNetName \
    --subnet $subNetName \
    --private-connection-resource-id $topicResourceID \
    --connection-name $connectionName \
    --location $location \
    --group-ids topic

# get topic 
az eventgrid topic show \
    --resource-group $resourceGroupName \
    --name $topicName

Schválení privátního koncového bodu

Následující ukázkový fragment kódu rozhraní příkazového řádku ukazuje, jak schválit připojení privátního koncového bodu.

az eventgrid topic private-endpoint-connection approve \
    --resource-group $resourceGroupName \
    --topic-name $topicName \
    --name  $endpointName \
    --description "connection approved"

Odmítnutí privátního koncového bodu

Následující ukázkový fragment kódu rozhraní příkazového řádku ukazuje, jak odmítnout připojení privátního koncového bodu.

az eventgrid topic private-endpoint-connection reject \
    --resource-group $resourceGroupName \
    --topic-name $topicName \
    --name $endpointName \
    --description "Connection rejected"

Zakázání přístupu k veřejné síti

Ve výchozím nastavení je povolený přístup k veřejné síti pro téma nebo doménu Event Gridu. Pokud chcete povolit přístup pouze přes privátní koncové body, zakažte přístup k veřejné síti spuštěním následujícího příkazu:

az eventgrid topic update \
    --resource-group $resourceGroupName \
    --name $topicName \
    --public-network-access disabled

Použití prostředí PowerShell

V této části se dozvíte, jak vytvořit privátní koncový bod pro téma nebo doménu pomocí PowerShellu. Tady je ukázkový skript s komentáři.


# name of an Azure resource group to be created
$resourceGroupName = "contosorg"

# location where you want the resources to be created
$location ="eastus"

# name of the VNet to be created
$vnetName = "contosovnet"

# name of the subnet to be created in the VNet
$subnetName = "example-privatelinksubnet"

# name of the Event Grid topic to be created
$egridTopicName = "contosotopic"

# name of the private link service connection to be created
$privateLinkServiceConnectionName = "spegridplsconn"

# name of the private endpoint connection to be created
$privateEndpointConnectionName = "spegridpe11"

#

# create resource group
New-AzResourceGroup -Name $resourceGroupName -Location $location

# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
                    -ResourceGroupName $resourceGroupName `
                    -Location $location `
                    -Name $vnetName  `
                    -AddressPrefix 10.0.0.0/16

# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
                    -Name $subnetName `
                    -AddressPrefix 10.0.0.0/24 `
                    -PrivateEndpointNetworkPoliciesFlag "Disabled" `
                    -VirtualNetwork $virtualNetwork

# update virtual network
$virtualNetwork | Set-AzVirtualNetwork

# get virtual network (optional)
$virtualNetwork = Get-AzVirtualNetwork `
                    -ResourceGroupName $resourceGroupName `
                    -Name $vnetName 

# create an Event Grid topic with public network access disabled. 
$topic = New-AzEventGridTopic -ResourceGroupName $resourceGroupName -Name $egridTopicName -Location $location -PublicNetworkAccess disabled

# create a private link service connection to the Event Grid topic. 
# For topics, set GroupId to 'topic'. For domains, it's 'domain'
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
                                -Name "privateLinkServiceConnectionName" `
                                -PrivateLinkServiceId $topic.id `
                                -GroupId "topic"

# get subnet info
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
                             | Where-Object  {$_.Name -eq $subnetName }  

# now, you are ready to create a private endpoint 
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $resourceGroupName  `
                                        -Name privateEndpointConnectionName   `
                                        -Location $location `
                                        -Subnet  $subnet   `
                                        -PrivateLinkServiceConnection $privateEndpointConnection

# verify that the endpoint is created
Get-AzPrivateEndpoint -ResourceGroupName $resourceGroupName  -Name privateEndpointConnectionName

Schválení připojení privátního koncového bodu

Následující ukázkový fragment kódu PowerShellu ukazuje, jak schválit privátní koncový bod.

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít ke schválení privátních koncových bodů pro domény.


# list all private endpoints for the topic
$topic = Get-AzEventGridTopic -ResourceGroup <RESOURCE GROUP NAME> - Name <TOPIC NAME>
$endpointList = Get-AzPrivateEndpointConnection -PrivateLinkResourceId $topic.Id

# filter the private endpoints using a name
 $pseEndpoint = $endpointList | Where-Object {     $_.Name.StartsWith('<MYENDPOINTNAME>') }

# approve the endpoint connection
Approve-AzPrivateEndpointConnection -ResourceId $pseEndpoint.Id

# get the endpoint connection to verify that it's approved
Get-AzPrivateEndpointConnection -ResourceId $pseEndpoint.Id

Odmítnutí připojení privátního koncového bodu

Následující příklad ukazuje, jak odmítnout privátní koncový bod pomocí PowerShellu. Identifikátor GUID privátního koncového bodu můžete získat z výsledku předchozího příkazu GET.

Poznámka

Kroky uvedené v této části jsou určené pro témata. Podobné kroky můžete použít k odmítnutí privátních koncových bodů pro domény.

# list all private endpoints for the topic
$topic = Get-AzEventGridTopic -ResourceGroup <RESOURCE GROUP NAME> - Name <TOPIC NAME>
$endpointList = Get-AzPrivateEndpointConnection -PrivateLinkResourceId $topic.Id


# filter the private endpoints using a name
 $pseEndpoint = $endpointList | Where-Object {     $_.Name.StartsWith('<MYENDPOINT>') }

# deny or reject the private endpoint connection
Deny-AzPrivateEndpointConnection -ResourceId $pseEndpoint.Id

# get the endpoint connection to verify that it's rejected
Get-AzPrivateEndpointConnection -ResourceId $pseEndpoint.Id

Připojení můžete schválit i po odmítnutí prostřednictvím rozhraní API. Pokud používáte Azure Portal, nemůžete schválit koncový bod, který byl odmítnut.

Další kroky

Další informace o konfiguraci nastavení brány firewall protokolu IP najdete v tématu Konfigurace brány firewall protokolu IP pro Azure Event Grid témata nebo domény.
Řešení potíží s připojením k síti najdete v tématu Řešení potíží s připojením k síti.

Konfigurace privátních koncových bodů pro témata nebo domény Azure Event Grid

Je tato stránka užitečná?

Použití webu Azure Portal

Při vytváření nového tématu

Pro existující téma

Správa připojení privátního propojení

Správa připojení privátního koncového bodu

Schválení privátního koncového bodu

Odmítnutí privátního koncového bodu

Použití Azure CLI

Požadavky

Vytvoření privátního koncového bodu

Ukázkový skript

Schválení privátního koncového bodu

Odmítnutí privátního koncového bodu

Zakázání přístupu k veřejné síti

Použití prostředí PowerShell

Schválení připojení privátního koncového bodu

Odmítnutí připojení privátního koncového bodu

Další kroky