Tutorial: Connettersi a un account di archiviazione con un endpoint privato di Azure

  • Articolo

Un endpoint privato di Azure è il blocco costitutivo fondamentale del collegamento privato in Azure. Consente alle risorse di Azure, ad esempio le macchine virtuali, di comunicare privatamente e in modo sicuro con le risorse collegamento privato, ad esempio Archiviazione di Azure.

Diagramma delle risorse create nell'esercitazione.

In questa esercitazione apprenderai a:

  • Creare una rete virtuale e un host bastion.
  • Creare un account di archiviazione e disabilitare l'accesso pubblico.
  • Creare un endpoint privato per l'account di archiviazione.
  • Creare una macchina virtuale.
  • Testare la connettività all'endpoint privato dell'account di archiviazione.

Prerequisiti

  • Una sottoscrizione di Azure. Se non si ha una sottoscrizione di Azure, creare un account gratuito prima di iniziare.

Accedere ad Azure

Accedere al portale di Azure.

Creare una rete virtuale e un host Azure Bastion

La procedura seguente crea una rete virtuale con una subnet di risorse, una subnet di Azure Bastion e un host Bastion:

  1. Nel portale cercare e selezionare Reti virtuali.

  2. Nella pagina Reti virtuali selezionare + Crea.

  3. Nella scheda Informazioni di base di Crea rete virtuale immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Dettagli di progetto
    Subscription Selezionare la propria sottoscrizione.
    Gruppo di risorse Selezionare Crea nuovo.
    Immettere test-rg come nome.
    Selezionare OK.
    Dettagli istanza
    Nome Immettere vnet-1.
    Paese Selezionare Stati Uniti orientali 2.

    Screenshot della scheda Informazioni di base per la creazione di una rete virtuale nella portale di Azure.

  4. Selezionare Avanti per passare alla scheda Sicurezza .

  5. Nella sezione Azure Bastion selezionare Abilita Bastion.

    Bastion usa il browser per connettersi alle macchine virtuali nella rete virtuale tramite Secure Shell (SSH) o Remote Desktop Protocol (RDP) usando i propri indirizzi IP privati. Le macchine virtuali non necessitano di indirizzi IP pubblici, software client o configurazione speciale. Per altre informazioni, vedere Informazioni su Azure Bastion.

    Nota

    La tariffa oraria inizia dal momento in cui viene distribuito Bastion, a prescindere dall'utilizzo dei dati in uscita. Per altre informazioni, vedere Prezzi e SKU. Se si distribuisce Bastion nel corso di un'esercitazione o di un test, è consigliabile eliminare questa risorsa dopo averla usata.

  6. In Azure Bastion immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Nome host Azure Bastion Immettere bastion.
    Indirizzo IP pubblico di Azure Bastion Selezionare Crea un indirizzo IP pubblico.
    Immettere public-ip-bastion in Nome.
    Selezionare OK.

    Screenshot delle opzioni per l'abilitazione di un host Azure Bastion come parte della creazione di una rete virtuale nel portale di Azure.

  7. Selezionare Avanti per passare alla scheda Indirizzi IP.

  8. Nella casella spazio indirizzi in Subnetselezionare la subnet predefinita.

  9. In Modifica subnet immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Dettagli subnet
    Modello di subnet Lasciare il valore predefinito Predefinito.
    Nome Immettere subnet-1.
    Indirizzo iniziale Lasciare l'impostazione predefinita 10.0.0.0.
    Dimensioni della subnet Lasciare il valore predefinito / 24 (256 indirizzi).

    Screenshot dei dettagli di configurazione per una subnet.

  10. Seleziona Salva.

  11. Selezionare Rivedi e crea nella parte inferiore della finestra. Al termine della convalida, selezionare Crea.

Creare un account di archiviazione

Creare un account Archiviazione di Azure per i passaggi descritti in questo articolo. Se si ha già un account di archiviazione, è possibile usarlo.

  1. Nella casella di ricerca nella parte superiore del portale immettere Archiviazione account. Selezionare Archiviazione account nei risultati della ricerca.

  2. Seleziona + Crea.

  3. Nella scheda Informazioni di base di Creare un account di archiviazione immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Dettagli del progetto
    Abbonamento Seleziona la tua sottoscrizione di Azure.
    Gruppo di risorse Selezionare test-rg.
    Dettagli istanza
    Nome account di archiviazione Immettere storage1. Se il nome non è disponibile, immetterne un altro univoco.
    Ufficio Selezionare (Stati Uniti) Stati Uniti orientali 2.
    Prestazioni Lasciare l'impostazione predefinita Standard.
    Ridondanza Selezionare Archiviazione con ridondanza locale.

  4. Seleziona Esamina.

  5. Seleziona Crea.

Disabilitare l'accesso pubblico all'account di archiviazione

Prima di creare l'endpoint privato, è consigliabile disabilitare l'accesso pubblico all'account di archiviazione. Usare la procedura seguente per disabilitare l'accesso pubblico all'account di archiviazione.

  1. Nella casella di ricerca nella parte superiore del portale immettere Archiviazione account. Selezionare Archiviazione account nei risultati della ricerca.

  2. Selezionare storage1 o il nome dell'account di archiviazione esistente.

  3. In Sicurezza e rete selezionare Rete.

  4. Nella scheda Firewall e reti virtuali in Accesso alla rete pubblica selezionare Disabilitato.

  5. Seleziona Salva.

Creare un endpoint privato

  1. Nella casella di ricerca nella parte superiore del portale immettere Endpoint privato. Selezionare Endpoint privati.

  2. Selezionare + Crea negli endpoint privati.

  3. Nella scheda Informazioni di base di Creare un endpoint privato immettere o selezionare le informazioni seguenti.

    Impostazione Valore
    Dettagli di progetto
    Subscription Selezionare la propria sottoscrizione.
    Gruppo di risorse Selezionare test-rg
    Dettagli istanza
    Nome Immettere private-endpoint.
    Nome interfaccia di rete Lasciare l'impostazione predefinita private-endpoint-nic.
    Paese Selezionare Stati Uniti orientali 2.

  4. Selezionare Avanti: Risorsa.

  5. Nel riquadro Risorsa immettere o selezionare le informazioni seguenti.

    Impostazione Valore
    Metodo di connessione Lasciare il valore predefinito di Connessione una risorsa di Azure nella directory.
    Subscription Selezionare la propria sottoscrizione.
    Tipo di risorsa Selezionare Microsoft.Archiviazione/storageAccounts.
    Conto risorse Selezionare storage-1 o l'account di archiviazione.
    Sottorisorsa di destinazione Selezionare BLOB.

  6. Selezionare Avanti: Rete virtuale.

  7. In Rete virtuale immettere o selezionare le informazioni seguenti.

    Impostazione Valore
    Networking
    Rete virtuale Selezionare vnet-1 (test-rg).
    Subnet Selezionare subnet-1.
    Criteri di rete per gli endpoint privati Selezionare Modifica per applicare i criteri di rete per gli endpoint privati.
    In Modifica criteri di rete subnet selezionare la casella di controllo accanto a Gruppi di sicurezza di rete e Tabelle di route nell'impostazione Criteri di rete per tutti gli endpoint privati in questa subnet.
    Selezionare Salva.

    Per altre informazioni, vedere Gestire i criteri di rete per gli endpoint privati
    Impostazione Valore
    Configurazione IP privato Selezionare Alloca dinamicamente l'indirizzo IP.

    Screenshot della selezione dinamica degli indirizzi IP.

  8. Selezionare Avanti: DNS.

  9. Lasciare le impostazioni predefinite in DNS. Selezionare Avanti: Tag, quindi Avanti: Rivedi e crea.

  10. Seleziona Crea.

Creare una macchina virtuale di test

La procedura seguente crea una macchina virtuale di test denominata vm-1 nella rete virtuale.

  1. Nel portale cercare e selezionare Macchine virtuali.

  2. In Macchine virtuali selezionare + Crea e quindi macchina virtuale di Azure.

  3. Nella scheda Informazioni di base di Crea una macchina virtuale immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Dettagli di progetto
    Subscription Selezionare la propria sottoscrizione.
    Gruppo di risorse Selezionare test-rg.
    Dettagli istanza
    Virtual machine name Immettere vm-1.
    Paese Selezionare Stati Uniti orientali 2.
    Opzioni di disponibilità Selezionare La ridondanza dell'infrastruttura non è richiesta.
    Tipo di sicurezza Lasciare l'impostazione predefinita Standard.
    Immagine Selezionare Windows Server 2022 Datacenter - x64 Gen2.
    Architettura della macchina virtuale Lasciare il valore predefinito x64.
    Dimensione Selezionare una dimensione.
    Account amministratore
    Tipo di autenticazione selezionare Password.
    Username digitare azureuser.
    Password Immettere una password.
    Conferma password Immettere nuovamente la password.
    Regole porta in ingresso
    Porte in ingresso pubbliche Selezionare Nessuno.

  4. Selezionare la scheda Rete nella parte superiore della pagina.

  5. Nella scheda Rete immettere o selezionare le informazioni seguenti:

    Impostazione Valore
    Interfaccia di rete
    Rete virtuale Selezionare vnet-1.
    Subnet Selezionare subnet-1 (10.0.0.0/24).
    IP pubblico Selezionare Nessuno.
    Gruppo di sicurezza di rete della scheda di interfaccia di rete Seleziona Avanzate.
    Configura gruppo di sicurezza di rete Selezionare Crea nuovo.
    Immettere nsg-1 come nome.
    Lasciare invariati i valori predefiniti e selezionare OK.

  6. Lasciare invariate le impostazioni predefinite e selezionare Rivedi e crea.

  7. Rivedere le impostazioni e selezionare Crea.

Nota

Le macchine virtuali in una rete virtuale con un bastion host non necessitano di indirizzi IP pubblici. Bastion fornisce l'indirizzo IP pubblico e le macchine virtuali usano indirizzi IP privati per comunicare all'interno della rete. È possibile rimuovere gli indirizzi IP pubblici da qualsiasi macchina virtuale in reti virtuali ospitate bastion. Per altre informazioni, vedere Annullare l'dissociazione di un indirizzo IP pubblico da una macchina virtuale di Azure.

Nota

Azure fornisce un IP di accesso in uscita predefinito per le macchine virtuali a cui non è stato assegnato un indirizzo IP pubblico o che si trovano nel pool back-end di un servizio del bilanciamento del carico di base di Azure. Il meccanismo dell'IP di accesso in uscita predefinito fornisce un IP in uscita non configurabile.

L'IP di accesso in uscita predefinito è disabilitato quando si verifica uno degli eventi seguenti:

  • Alla macchina virtuale viene assegnato un indirizzo IP pubblico.
  • La macchina virtuale è posizionata nel pool back-end di un servizio di bilanciamento del carico standard, con o senza regole in uscita.
  • Una risorsa gateway NAT di Azure viene assegnata alla subnet della macchina virtuale.

Le macchine virtuali create usando set di scalabilità di macchine virtuali in modalità di orchestrazione flessibile non hanno l'accesso in uscita predefinito.

Per altre informazioni sulle connessioni in uscita in Azure, vedere Accesso in uscita predefinito in Azure e Uso di Source Network Address Translation (SNAT) per le connessioni in uscita.

Chiave di accesso alle risorse di archiviazione

La chiave di accesso all'archiviazione è necessaria per i passaggi successivi. Passare all'account di archiviazione creato in precedenza e copiare il stringa di connessione con la chiave di accesso per l'account di archiviazione.

  1. Nella casella di ricerca nella parte superiore del portale immettere Archiviazione account. Selezionare Archiviazione account nei risultati della ricerca.

  2. Selezionare l'account di archiviazione creato nei passaggi precedenti o nell'account di archiviazione esistente.

  3. Nella sezione Sicurezza e rete dell'account di archiviazione selezionare Chiavi di accesso.

  4. Selezionare Mostra e quindi copiare nella stringa di Connessione ion per key1.

Aggiungere un contenitore BLOB

  1. Nella casella di ricerca nella parte superiore del portale immettere Archiviazione account. Selezionare Archiviazione account nei risultati della ricerca.

  2. Selezionare l'account di archiviazione creato nei passaggi precedenti.

  3. Nella sezione Archiviazione dati selezionare Contenitori.

  4. Selezionare + Contenitore per creare un nuovo contenitore.

  5. Immettere il contenitore in Nome e selezionare Privato (nessun accesso anonimo) in Livello di accesso pubblico.

  6. Seleziona Crea.

Testare la connettività con l'endpoint privato

In questa sezione si usa la macchina virtuale creata nei passaggi precedenti per connettersi all'account di archiviazione nell'endpoint privato usando Archiviazione di Microsoft Azure Explorer.

  1. Nella casella di ricerca, nella parte superiore del portale, immettere Macchina virtuale. Selezionare Macchine virtuali nei risultati della ricerca.

  2. Selezionare vm-1.

  3. In Operazioni selezionare Bastion.

  4. Immettere il nome utente e la password specificati durante la creazione della macchina virtuale.

  5. Selezionare Connetti.

  6. Aprire Windows PowerShell nel server dopo la connessione.

  7. Immetti nslookup <storage-account-name>.blob.core.windows.net. Sostituire <storage-account-name> con il nome dell'account di archiviazione creato nei passaggi precedenti. Nell'esempio seguente viene illustrato l'output del comando .

    Server:  UnKnown
Address:  168.63.129.16

Non-authoritative answer:
Name:    storage1.privatelink.blob.core.windows.net
Address:  10.0.0.10
Aliases:  mystorageaccount.blob.core.windows.net

    Viene restituito un indirizzo IP privato 10.0.0.10 per il nome dell'account di archiviazione. Questo indirizzo si trova nella subnet 1 della rete virtuale vnet-1 creata in precedenza.

  8. Installare Microsoft Azure Storage Explorer nella macchina virtuale.

  9. Selezionare Fine dopo aver installato Microsoft Azure Storage Explorer. Lasciare selezionata la casella per aprire l'applicazione.

  10. Selezionare il simbolo del plug di alimentazione per aprire la finestra di dialogo Seleziona risorsa nella barra degli strumenti a sinistra.

  11. In Seleziona risorsa selezionare Archiviazione account o servizio per aggiungere una connessione in Archiviazione di Microsoft Azure Explorer all'account di archiviazione creato nei passaggi precedenti.

  12. Nella schermata Seleziona metodo Connessione ion selezionare Connessione stringa di Connessione e quindi Avanti.

  13. Nella casella sotto Stringa di connessione incollare la stringa di connessione dell'account di archiviazione copiata nei passaggi precedenti. Il nome dell'account di archiviazione viene popolato automaticamente nella casella in Nome visualizzato.

  14. Selezionare Avanti.

  15. Verificare che le impostazioni siano corrette in Riepilogo.

  16. Seleziona Connetti

  17. Selezionare l'account di archiviazione dal menu Archiviazione Accounts (Account di Archiviazione).

  18. Espandere l'account di archiviazione e quindi i contenitori BLOB.

  19. Viene visualizzato il contenitore creato in precedenza.

  20. Chiudere la connessione a vm-1.

Pulire le risorse

Al termine dell'uso delle risorse create, è possibile eliminare il gruppo di risorse e tutte le relative risorse:

  1. Accedere al portale di Azure e selezionare Gruppi di risorse.

  2. Nella pagina Gruppi di risorse selezionare il gruppo di risorse test-rg.

  3. Nella pagina test-rg selezionare Elimina gruppo di risorse.

  4. Immettere test-rg in Immettere il nome del gruppo di risorse per confermare l'eliminazione e quindi selezionare Elimina.

Passaggi successivi

In questa esercitazione si è appreso come creare:

  • Una rete virtuale e un host bastion.

  • Una macchina virtuale.

  • Archiviazione account e un contenitore.

Informazioni su come connettersi a un account Azure Cosmos DB tramite endpoint privato di Azure:

Connessione ad Azure Cosmos DB usando l'endpoint privato