Gerenciar pontos de extremidade privados do Azure

Os pontos de extremidade privados do Azure têm várias opções para gerenciar sua configuração e implantação.

Você pode determinar GroupId e MemberName valores consultando o recurso de Link Privado do Azure. Você precisa dos valores e MemberName para configurar um endereço IP estático para um ponto de extremidade privado durante a GroupId criação.

Um ponto de extremidade privado tem duas propriedades personalizadas: endereço IP estático e nome da interface de rede. Essas propriedades devem ser definidas quando o ponto de extremidade privado é criado.

Com um provedor de serviços e a implantação do Private Link pelo consumidor, um processo de aprovação está em vigor para fazer a conexão.

Determinar GroupID e MemberName

Durante a criação de um ponto de extremidade privado com o Azure PowerShell e a CLI do Azure, os GroupId valores e MemberName do recurso de ponto de extremidade privado podem ser necessários.

• GroupId é o subrecurso do ponto de extremidade privado.
• MemberName é o carimbo exclusivo para o endereço IP privado do ponto de extremidade.

Para obter mais informações sobre subrecursos de ponto de extremidade privado e seus valores, consulte Recurso de link privado.

Para determinar os valores de e MemberName para seu recurso de ponto de GroupId extremidade privado, use os comandos a seguir. MemberName está contida dentro da RequiredMembers propriedade.

PowerShell

Um aplicativo Web do Azure é usado como o recurso de ponto de extremidade privado de exemplo. Use Get-AzPrivateLinkResource para determinar os valores de GroupId e MemberName.

## Place the previously created webapp into a variable. ##
$webapp = 
Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

$resource = 
Get-AzPrivateLinkResource -PrivateLinkResourceId $webapp.ID

Você deve receber uma saída semelhante ao exemplo a seguir.

CLI do Azure

Um aplicativo Web do Azure é usado como o recurso de ponto de extremidade privado de exemplo. Use az network private-link-resource list para determinar GroupId e MemberName. O parâmetro --type requer o namespace para o recurso Private Link. Para o aplicativo Web usado neste exemplo, o namespace é Microsoft.Web/sites. Para determinar o namespace para seu recurso de Link Privado, consulte Configuração de zona DNS dos serviços do Azure.

az network private-link-resource list \
    --resource-group MyResourceGroup \
    --name myWebApp1979 \
    --type Microsoft.Web/sites

Você deve receber uma saída semelhante ao exemplo a seguir.

Propriedades personalizadas

A renomeação da interface de rede e a atribuição de endereço IP estático são propriedades personalizadas que você pode definir em um ponto de extremidade privado durante a criação.

Renomeação da interface de rede

Por padrão, quando um ponto de extremidade privado é criado, a interface de rede associada ao ponto de extremidade privado recebe um nome aleatório para sua interface de rede. A interface de rede deve ser nomeada quando o ponto de extremidade privado é criado. Não há suporte para a renomeação da interface de rede de um ponto de extremidade privado existente.

Use os comandos a seguir ao criar um ponto de extremidade privado para renomear a interface de rede.

PowerShell

Para renomear a interface de rede quando o ponto de extremidade privado é criado, use o -CustomNetworkInterfaceName parâmetro. O exemplo a seguir usa um comando do Azure PowerShell para criar um ponto de extremidade privado para um aplicativo Web do Azure. Para obter mais informações, consulte New-AzPrivateEndpoint.

## Place the previously created webapp into a variable. ##
$webapp = Get-AzWebApp -ResourceGroupName myResourceGroup -Name myWebApp1979

## Create the private endpoint connection. ## 
$pec = @{
    Name = 'myConnection'
    PrivateLinkServiceId = $webapp.ID
    GroupID = 'sites'
}
$privateEndpointConnection = New-AzPrivateLinkServiceConnection @pec

## Place the virtual network you created previously into a variable. ##
$vnet = Get-AzVirtualNetwork -ResourceGroupName 'myResourceGroup' -Name 'myVNet'

## Create the private endpoint. ##
$pe = @{
    ResourceGroupName = 'myResourceGroup'
    Name = 'myPrivateEndpoint'
    Location = 'eastus'
    Subnet = $vnet.Subnets[0]
    PrivateLinkServiceConnection = $privateEndpointConnection
    CustomNetworkInterfaceName = 'myPrivateEndpointNIC'
}
New-AzPrivateEndpoint @pe

CLI do Azure

Para renomear a interface de rede quando o ponto de extremidade privado é criado, use o --nic-name parâmetro. O exemplo a seguir usa um comando do Azure PowerShell para criar um ponto de extremidade privado para um aplicativo Web do Azure. Para obter mais informações, consulte az network private-endpoint create.

id=$(az webapp list \
    --resource-group myResourceGroup \
    --query '[].[id]' \
    --output tsv)

az network private-endpoint create \
    --connection-name myConnection \
    --name myPrivateEndpoint \
    --private-connection-resource-id $id \
    --resource-group myResourceGroup \
    --subnet myBackendSubnet \
    --group-id sites \
    --nic-name myPrivateEndpointNIC \
    --vnet-name myVNet

Endereço IP estático

Por padrão, quando um ponto de extremidade privado é criado, o endereço IP do ponto de extremidade é atribuído automaticamente. O IP é atribuído a partir do intervalo de IP da rede virtual configurada para o ponto de extremidade privado. Uma situação pode surgir quando um endereço IP estático para o ponto de extremidade privado é necessário. O endereço IP estático deve ser atribuído quando o ponto de extremidade privado é criado. A configuração de um endereço IP estático para um ponto de extremidade privado existente não é suportada no momento.

Para obter procedimentos para configurar um endereço IP estático ao criar um ponto de extremidade privado, consulte Criar um ponto de extremidade privado usando o Azure PowerShell e Criar um ponto de extremidade privado usando a CLI do Azure.

Ligações de ponto final privado

O Private Link funciona em um modelo de aprovação em que o consumidor do Private Link pode solicitar uma conexão com o provedor de serviços para consumir o serviço.

O prestador de serviços pode então decidir se permite ou não que o consumidor se ligue. O Private Link permite que os provedores de serviços gerenciem a conexão de ponto final privado em seus recursos.

Há dois métodos de aprovação de conexão que um consumidor de Link Privado pode escolher:

• Automático: se o consumidor de serviço tiver permissões RBAC (controle de acesso baseado em função) do Azure no recurso do provedor de serviços, o consumidor poderá escolher o método de aprovação automática. Quando a solicitação chega ao recurso do provedor de serviços, nenhuma ação é necessária do provedor de serviços e a conexão é aprovada automaticamente.

• Manual: Se o consumidor de serviços não tiver permissões RBAC no recurso do provedor de serviços, poderá escolher o método de aprovação manual. A solicitação de conexão aparece nos recursos do serviço como Pendente. O provedor de serviços tem que aprovar manualmente a solicitação antes que as conexões possam ser estabelecidas.

  Em casos manuais, o consumidor de serviços também pode especificar uma mensagem com a solicitação para fornecer mais contexto ao provedor de serviços. O provedor de serviços tem as seguintes opções para escolher para todas as conexões de ponto de extremidade privadas: Aprovar, Rejeitar e Remover.

Importante

Para aprovar conexões com um ponto de extremidade privado que esteja em uma assinatura ou locatário separado, verifique se a assinatura do provedor ou locatário se registrou Microsoft.Network. A assinatura do consumidor ou locatário também deve ter o provedor de recursos do recurso de destino registrado.

A tabela a seguir mostra as várias ações do provedor de serviços e os estados de conexão resultantes para pontos de extremidade privados. O provedor de serviços pode alterar o estado da conexão posteriormente sem a intervenção do consumidor. A ação atualiza o estado do ponto de extremidade no lado do consumidor.

Ação do provedor de serviços	Estado do ponto de extremidade privado do consumidor do serviço	Description
None	Pendente	A conexão é criada manualmente e está pendente de aprovação pelo proprietário do recurso Private Link.
Aprovar	Aprovado	A conexão é aprovada automática ou manualmente e está pronta para ser usada.
Rejeitar	Rejeitado	O proprietário do recurso Private Link rejeita a conexão.
Remover	Desligado	O proprietário do recurso Private Link remove a conexão, fazendo com que o ponto de extremidade privado seja desconectado e ele deve ser excluído para limpeza.

Gerenciar conexões de ponto de extremidade privado em recursos de PaaS do Azure

Use as etapas a seguir para gerenciar uma conexão de ponto de extremidade privada no portal do Azure.

1. Inicie sessão no portal do Azure.

2. Na caixa de pesquisa na parte superior do portal, digite Link privado. Nos resultados da pesquisa, selecione Link privado.

3. No Centro de Link Privado, selecione Pontos de extremidade privados ou Serviços de link privado.

4. Para cada um dos seus pontos de extremidade, você pode visualizar o número de conexões de ponto de extremidade privadas associadas a ele. Você pode filtrar os recursos conforme necessário.

5. Selecione o ponto de extremidade privado. Nas conexões listadas, selecione a conexão que você deseja gerenciar.

6. Você pode alterar o estado da conexão selecionando entre as opções na parte superior.

Gerencie conexões de ponto de extremidade privadas em um serviço Private Link de propriedade do cliente ou parceiro

Use os seguintes comandos do PowerShell e da CLI do Azure para gerenciar conexões de ponto de extremidade privadas em serviços de parceiros da Microsoft ou serviços de propriedade do cliente.

PowerShell

Use os seguintes comandos do PowerShell para gerenciar conexões de ponto de extremidade privadas.

Obter estados de conexão de Link Privado

Use Get-AzPrivateEndpointConnection para obter as conexões de ponto de extremidade privado e seus estados.

$get = @{
    Name = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Get-AzPrivateEndpointConnection @get

Aprovar uma conexão de ponto de extremidade privada

Use Approve-AzPrivateEndpointConnection para aprovar uma conexão de ponto de extremidade privada.

$approve = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Approve-AzPrivateEndpointConnection @approve

Negar uma conexão de ponto de extremidade privada

Use Deny-AzPrivateEndpointConnection para rejeitar uma conexão de ponto de extremidade privada.

$deny = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Deny-AzPrivateEndpointConnection  @deny

Remover uma conexão de ponto de extremidade privada

Use Remove-AzPrivateEndpointConnection para remover uma conexão de ponto de extremidade privada.

$remove = @{
    Name = 'myPrivateEndpointConnection'
    ServiceName = 'myPrivateLinkService'
    ResourceGroupName = 'myResourceGroup'
}
Remove-AzPrivateEndpointConnection @remove

CLI do Azure

Use os seguintes comandos da CLI do Azure para gerenciar conexões de ponto de extremidade privadas.

Obter estados de conexão de Link Privado

Use az network private-endpoint-connection show para obter as conexões de ponto de extremidade privado e seus estados.

  az network private-endpoint-connection show \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Aprovar uma conexão de ponto de extremidade privada

Use az network private-endpoint-connection approve para aprovar uma conexão de ponto de extremidade privado.

  az network private-endpoint-connection approve \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

Negar uma conexão de ponto de extremidade privada

Use az network private-endpoint-connection reject para rejeitar uma conexão de ponto de extremidade privado.

  az network private-endpoint-connection reject \
    --name myPrivateEndpointConnection  \
    --resource-group myResourceGroup

Remover uma conexão de ponto de extremidade privada

Use az network private-endpoint-connection delete para remover uma conexão de ponto de extremidade privado.

  az network private-endpoint-connection delete \
    --name myPrivateEndpointConnection \
    --resource-group myResourceGroup

Nota

Conexões negadas anteriormente não podem ser aprovadas. Você deve remover a conexão e criar uma nova.

Próximos passos

• Saiba mais sobre endpoints privados