Início Rápido: criar um ponto de extremidade privado usando a CLI do Azure
Introdução ao Link Privado do Azure ao criar e usar um ponto de extremidade privado para se conectar com segurança a um aplicativo Web do Azure.
Neste início rápido, crie um ponto de extremidade privado para um aplicativo Web dos Serviços de Aplicativos do Azure e, em seguida, crie e implante uma máquina virtual (VM) para testar a conexão privada.
Você pode criar pontos de extremidade privados para vários serviços do Azure, como o SQL do Azure e o Armazenamento do Microsoft Azure.
Pré-requisitos
Uma conta do Azure com uma assinatura ativa. Se você ainda não tiver uma conta do Azure, crie uma conta gratuitamente.
Um Aplicativo Web do Azure com um PremiumV2-tier ou um plano de serviço de aplicativo mais alto implantado em sua assinatura do Azure.
Para obter mais informações e um exemplo, confira Início Rápido: Criar um aplicativo Web ASP.NET Core no Azure.
O aplicativo Web de exemplo neste artigo é denominado webapp-1. Substitua o exemplo pelo nome do seu aplicativo Web.
Use o ambiente Bash no Azure Cloud Shell. Para obter mais informações, confira Início Rápido para Bash no Azure Cloud Shell.
Se preferir executar os comandos de referência da CLI localmente, instale a CLI do Azure. Para execuções no Windows ou no macOS, considere executar a CLI do Azure em um contêiner do Docker. Para obter mais informações, confira Como executar a CLI do Azure em um contêiner do Docker.
Se estiver usando uma instalação local, entre com a CLI do Azure usando o comando az login. Para concluir o processo de autenticação, siga as etapas exibidas no terminal. Para ver outras opções de entrada, confira Conectar-se com a CLI do Azure.
Quando solicitado, instale a extensão da CLI do Azure no primeiro uso. Para obter mais informações sobre extensões, confira Usar extensões com a CLI do Azure.
Execute az version para localizar a versão e as bibliotecas dependentes que estão instaladas. Para fazer a atualização para a versão mais recente, execute az upgrade.
Criar um grupo de recursos
Um grupo de recursos do Azure é um contêiner lógico no qual os recursos do Azure são implantados e gerenciados.
Primeiro, crie um grupo de recursos usando az group create:
az group create \
--name test-rg \
--location eastus2
Criar uma rede virtual e um bastion host
Uma rede virtual e uma sub-rede são necessárias para hospedar o endereço IP privado para o ponto de extremidade privado. Você cria um bastion host para se conectar com segurança à máquina virtual e testar o ponto de extremidade privado. Você cria a máquina virtual em uma seção posterior.
Observação
Os preços por hora começam a partir do momento em que o Bastion é implantado, independentemente do uso de dados de saída. Para saber mais, confira Preços e SKUs. Se você estiver implantando o Bastion como parte de um tutorial ou teste, recomendamos que você exclua esse recurso depois de terminar de usá-lo.
Crie uma rede virtual com az network vnet create.
az network vnet create \
--resource-group test-rg \
--location eastus2 \
--name vnet-1 \
--address-prefixes 10.0.0.0/16 \
--subnet-name subnet-1 \
--subnet-prefixes 10.0.0.0/24
Crie uma sub-rede do bastion com az network vnet subnet create.
az network vnet subnet create \
--resource-group test-rg \
--name AzureBastionSubnet \
--vnet-name vnet-1 \
--address-prefixes 10.0.1.0/26
Crie um endereço IP público para o bastion host com az network public-ip create.
az network public-ip create \
--resource-group test-rg \
--name public-ip \
--sku Standard \
--zone 1 2 3
Crie um bastion host com az network bastion create.
az network bastion create \
--resource-group test-rg \
--name bastion \
--public-ip-address public-ip \
--vnet-name vnet-1 \
--location eastus2
Levará alguns minutos para que o host do Azure Bastion seja implantado.
Criar um ponto de extremidade privado
Para configurar o ponto de extremidade privado e a conexão com a rede virtual é necessário um serviço do Azure que dê suporte a pontos de extremidade privado. Para os exemplos neste artigo, use o Azure WebApp dos pré-requisitos. Para saber mais sobre os serviços do Azure que dão suporte a um ponto de extremidade privado, confira Disponibilidade do Link Privado do Azure.
Um ponto de extremidade privado pode ter um endereço IP estático ou dinamicamente atribuído.
Importante
Você deve ter um aplicativo Web dos Serviços de Aplicativo do Azure implantado anteriormente para prosseguir com as etapas neste artigo. Para mais informações, consulte os Pré-requisitos.
Coloque a ID do recurso do aplicativo Web que você criou anteriormente em uma variável do shell com az webapp list. Crie o ponto de extremidade privado com az network private-endpoint create.
id=$(az webapp list \
--resource-group test-rg \
--query '[].[id]' \
--output tsv)
az network private-endpoint create \
--connection-name connection-1 \
--name private-endpoint \
--private-connection-resource-id $id \
--resource-group test-rg \
--subnet subnet-1 \
--group-id sites \
--vnet-name vnet-1
Configurar a zona DNS privada
Uma zona DNS privada é usada para resolver o nome DNS do ponto de extremidade privado na rede virtual. Para este exemplo, estamos usando as informações de DNS para um Azure WebApp. Para obter mais informações sobre a configuração DNS de pontos de extremidade privados, consulte a Configuração do DNS do Ponto de Extremidade Privado do Azure].
Crie uma nova zona DNS privada do Azure com az network private-dns zone create.
az network private-dns zone create \
--resource-group test-rg \
--name "privatelink.azurewebsites.net"
Vincule a zona DNS à rede virtual que você criou anteriormente com az network private-dns link vnet create.
az network private-dns link vnet create \
--resource-group test-rg \
--zone-name "privatelink.azurewebsites.net" \
--name dns-link \
--virtual-network vnet-1 \
--registration-enabled false
Crie um grupo de zonas DNS com az network private-endpoint dns-zone-group create.
az network private-endpoint dns-zone-group create \
--resource-group test-rg \
--endpoint-name private-endpoint \
--name zone-group \
--private-dns-zone "privatelink.azurewebsites.net" \
--zone-name webapp
Criar uma máquina virtual de teste
Para verificar o endereço IP estático e a funcionalidade do ponto de extremidade privado, é necessária uma máquina virtual de teste conectada à sua rede virtual.
Crie a máquina virtual com az vm create.
az vm create \
--resource-group test-rg \
--name vm-1 \
--image Win2022Datacenter \
--public-ip-address "" \
--vnet-name vnet-1 \
--subnet subnet-1 \
--admin-username azureuser
Observação
Máquinas virtuais em uma rede virtual com um bastion host não precisam de endereços IP públicos. O Bastion fornece o IP público e as VMs usam IPs privados para se comunicar dentro da rede. Você pode remover os IPs públicos de qualquer VM em redes virtuais hospedadas no bastion. Para obter mais informações, confira dissociar um endereço IP público de uma VM do Azure.
Observação
O Azure fornece um IP de acesso de saída padrão para VMs que não receberam um endereço IP público ou que estão no pool de back-end de um balanceador de carga do Azure básico interno. O mecanismo de IP de acesso de saída padrão fornece um endereço IP de saída que não é configurável.
O IP de acesso de saída padrão é desabilitado quando um dos seguintes eventos acontece:
- Um endereço IP público é atribuído à VM.
- A VM é colocada no pool de back-end de um balanceador de carga padrão, com ou sem regras de saída.
- Um recurso do Gateway NAT do Azure é atribuído à sub-rede da VM.
As VMs criadas por conjuntos de dimensionamento de máquinas virtuais no modo de orquestração flexível não têm acesso de saída padrão.
Para mais informações sobre conexões de saída no Azure, confira Acesso de saída padrão no Azure e Usar SNAT (conversão de endereços de rede de origem) para conexões de saída.
Testar a conectividade com o ponto de extremidade privado
Use a VM que você criou anteriormente para se conectar ao aplicativo Web no ponto de extremidade privado.
Na caixa de pesquisa na parte superior do portal insira Máquina virtual. Selecione Máquinas virtuais.
Selecione vm-1.
Na página de visão geral de vm-1, selecione Conectar e, em seguida, selecione a guia Bastion.
Selecione Usar Bastion.
Insira o nome de usuário e a senha que você usou quando criou a VM.
Selecione Conectar.
Depois de se conectar, abra o PowerShell no servidor.
Digite
nslookup webapp-1.azurewebsites.net. Você recebe uma mensagem semelhante ao exemplo a seguir:Server: UnKnown Address: 168.63.129.16 Non-authoritative answer: Name: webapp-1.privatelink.azurewebsites.net Address: 10.0.0.10 Aliases: webapp-1.azurewebsites.netUm endereço IP privado de 10.0.0.10 é retornado para o nome do aplicativo Web se você tiver escolhido o endereço IP estático nas etapas anteriores. Esse endereço está na sub-rede da rede virtual criada anteriormente.
Na conexão do Bastion com vm-1, abra o navegador Web.
Insira a URL do seu aplicativo web,
https://webapp-1.azurewebsites.net.Se o seu aplicativo Web não tiver sido implantado, você verá a seguinte página padrão do aplicativo Web:
Fechar a conexão com vm-1.
Limpar os recursos
Use o comando az group delete para remover o grupo de recursos, o serviço de link privado, o balanceador de carga e todos os recursos relacionados quando não forem mais necessários.
az group delete \
--name test-rg
Próximas etapas
Para obter mais informações sobre os serviços que dão suporte a um ponto de extremidade privado, confira: