Özel uç noktalar aracılığıyla Azure Service Bus ad alanlarına erişime izin verme
Azure Özel Bağlantı Hizmeti, sanal ağınızdaki özel bir uç nokta üzerinden Azure hizmetlerine (örneğin, Azure Service Bus, Azure Depolama ve Azure Cosmos DB) ve Azure'da barındırılan müşteri/iş ortağı hizmetlerine erişmenizi sağlar.
Bir özel uç nokta, sizi Azure Özel Bağlantı ile desteklenen bir hizmete özel olarak ve güvenle bağlayan bir ağ arabirimidir. Özel uç nokta, sanal ağınızdan bir özel IP adresi kullanarak hizmeti etkin bir şekilde sanal ağınıza getirir. Hizmete giden tüm trafik özel uç nokta üzerinden yönlendirilebilir, bu nedenle ağ geçitleri, NAT cihazları, ExpressRoute veya VPN bağlantıları veya genel IP adresleri gerekmez. Sanal ağınız ve hizmet arasındaki trafik, Microsoft omurga ağı üzerinden geçer ve genel İnternet’ten etkilenme olasılığı ortadan kaldırılır. Azure kaynağının bir örneğine bağlanarak erişim denetiminde en yüksek ayrıntı düzeyini sağlayabilirsiniz.
Daha fazla bilgi için bkz. Azure Özel Bağlantı nedir?
Önemli noktalar
Bu özellik, Azure Service Bus premium katmanında desteklenir. Premium katmanı hakkında daha fazla bilgi için Service Bus Premium ve Standart mesajlaşma katmanları makalesine bakın.
Özel uç noktaların uygulanması, diğer Azure hizmetlerinin Service Bus ile etkileşime girmesini engelleyebilir. Özel durum olarak, özel uç noktalar etkinleştirildiğinde bile belirli güvenilen hizmetlerden Service Bus kaynaklarına erişime izin vekleyebilirsiniz. Güvenilen hizmetlerin listesi için bkz . Güvenilen hizmetler.
Aşağıdaki Microsoft hizmetlerinin bir sanal ağda olması gerekir
- Azure App Service
- Azure İşlevleri
Yalnızca belirtilen IP adreslerinden veya bir sanal ağın alt ağından gelen trafiğe izin vermek için ad alanı için en az bir IP kuralı veya sanal ağ kuralı belirtin. IP ve sanal ağ kuralları yoksa, ad alanına genel İnternet üzerinden erişilebilir (erişim anahtarı kullanılarak).
Azure portal kullanarak özel uç nokta ekleme
Önkoşullar
Service Bus ad alanını Azure Özel Bağlantı ile tümleştirmek için aşağıdaki varlıklara veya izinlere ihtiyacınız vardır:
- Service Bus ad alanı.
- Azure sanal ağı.
- Sanal ağdaki bir alt ağ. Varsayılan alt ağı kullanabilirsiniz.
- Hem Service Bus ad alanı hem de sanal ağ için sahip veya katkıda bulunan izinleri.
Özel uç noktanız ve sanal ağınız aynı bölgede olmalıdır. Portalı kullanarak özel uç nokta için bir bölge seçtiğinizde, yalnızca bu bölgedeki sanal ağlar otomatik olarak filtrelenir. Service Bus ad alanınız farklı bir bölgede olabilir. Ayrıca, özel uç noktanız sanal ağınızda özel bir IP adresi kullanır.
Ad alanı oluştururken özel erişimi yapılandırma
Ad alanı oluştururken, ad alanına yalnızca genel (tüm ağlardan) veya yalnızca özel (yalnızca özel uç noktalar aracılığıyla) erişimine izin vekleyebilirsiniz.
Ad alanı oluşturma sihirbazının Ağ sayfasında Özel erişim seçeneğini belirtirseniz , + Özel uç nokta düğmesini seçerek sayfaya özel uç nokta ekleyebilirsiniz. Özel uç nokta eklemeye yönelik ayrıntılı adımlar için sonraki bölüme bakın.
Mevcut ad alanı için özel erişimi yapılandırma
Zaten bir ad alanınız varsa, aşağıdaki adımları izleyerek özel bir uç nokta oluşturabilirsiniz:
Azure Portal’ında oturum açın.
Arama çubuğuna Service Bus yazın.
Özel uç nokta eklemek istediğiniz listeden ad alanını seçin.
Soldaki menüde Ayarlar'ın altında Ağ seçeneği'ni seçin.
Not
Yalnızca premium ad alanları için Ağ sekmesini görürsünüz.
Ad alanına yalnızca özel uç noktalar üzerinden erişim sağlamak istiyorsanız , Ağ sayfasında Genel ağ erişimi için Devre Dışı'nı seçin.
Güvenilen Microsoft hizmetlerinin bu güvenlik duvarını atlamasına izin ver için, güvenilen Microsoft hizmetlerinin bu güvenlik duvarını atlamasına izin vermek istiyorsanız Evet'i seçin.
Özel uç noktalar aracılığıyla ad alanına erişime izin vermek için sayfanın üst kısmındaki Özel uç nokta bağlantıları sekmesini seçin
Sayfanın üst kısmındaki + Özel Uç Nokta düğmesini seçin.
Temel Bilgiler sayfasında şu adımları izleyin:
Özel uç noktayı oluşturmak istediğiniz Azure aboneliğini seçin.
Özel uç nokta kaynağı için kaynak grubunu seçin.
Özel uç nokta için bir ad girin.
Ağ arabirimi için bir ad girin.
Özel uç nokta için bir bölge seçin. Özel uç noktanız sanal ağınızla aynı bölgede olmalıdır, ancak bağlandığınız özel bağlantı kaynağından farklı bir bölgede olabilir.
Sayfanın alt kısmındaki İleri: Kaynak > düğmesini seçin.
Kaynak sayfasında, ayarları gözden geçirin ve sayfanın altındaki İleri: Sanal Ağ'i seçin.
Sanal Ağ sayfasında, özel uç noktayı dağıtmak istediğiniz sanal ağdaki alt ağı seçersiniz.
- Bir sanal ağ seçin. Açılan listede yalnızca seçili durumdaki abonelik ve konumdaki sanal ağlar listelenir.
- Seçtiğiniz sanal ağda bir alt ağ seçin.
- Özel uç noktalar için ağ ilkesinin devre dışı bırakıldığına dikkat edin. Etkinleştirmek istiyorsanız düzenle'yi seçin, ayarı güncelleştirin ve Kaydet'i seçin.
- Özel IP yapılandırması için, varsayılan olarak IP adresini dinamik olarak ayır seçeneği seçilidir. Statik BIR IP adresi atamak istiyorsanız , Statik OLARAK IP adresi ayır* seçeneğini belirleyin.
- Uygulama güvenlik grubu için var olan bir uygulama güvenlik grubunu seçin veya özel uç noktayla ilişkilendirilecek bir güvenlik grubu oluşturun.
- Sayfanın en altındaki İleri: DNS > düğmesi'ni seçin.
DNS sayfasında, özel uç noktanın özel bir DNS bölgesiyle tümleştirilmesini isteyip istemediğinizi seçin ve ardından İleri: Etiketler'i seçin.
Etiketler sayfasında, özel uç nokta kaynağıyla ilişkilendirmek istediğiniz etiketleri (adlar ve değerler) oluşturun. Ardından, sayfanın en altındaki Gözden geçir ve oluştur düğmesini seçin.
Gözden geçir + oluştur bölümünde tüm ayarları gözden geçirin ve Oluştur'u seçerek özel uç noktayı oluşturun.
Özel uç noktanın oluşturulduğunu onaylayın. Kaynağın sahibiyseniz ve Bağlantı yöntemi için Dizinimdeki bir Azure kaynağına bağlan seçeneğini belirlediyseniz uç nokta bağlantısı otomatik olarak onaylanmalıdır. Bekleme durumundaysa Azure portal kullanarak özel uç noktaları yönetme bölümüne bakın.
Güvenilen Microsoft hizmetleri
Güvenilen Microsoft hizmetlerinin bu güvenlik duvarını atlamasına izin ver ayarını etkinleştirdiğinizde, aşağıdaki hizmetlere Service Bus kaynaklarınıza erişim izni verilir.
| Güvenilen hizmet | Desteklenen kullanım senaryoları |
|---|---|
| Azure Event Grid | Azure Event Grid Service Bus ad alanınızdaki kuyruklara veya konulara olay göndermesine izin verir. Aşağıdaki adımları da uygulamanız gerekir:
Daha fazla bilgi için bkz . Yönetilen kimlikle olay teslimi |
| Azure Stream Analytics | Azure Stream Analytics işinin service bus kuyruklarına konu başlıklarına veri çıkışı yapmasına izin verir. Önemli: Stream Analytics işi, Service Bus ad alanına erişmek için yönetilen kimlik kullanacak şekilde yapılandırılmalıdır. Kimliği Service Bus ad alanında Azure Service Bus Veri Gönderen rolüne ekleyin. |
| Azure IoT Hub | Bir IoT hub'ına Service Bus ad alanınızdaki kuyruklara veya konulara ileti gönderme izni verir. Aşağıdaki adımları da uygulamanız gerekir:
|
| Azure API Management | API Management hizmeti, Service Bus Ad Alanınızdaki bir Service Bus kuyruğuna/konusuna ileti göndermenizi sağlar.
|
| Azure IoT Central | IoT Central'ın Service Bus ad alanınızdaki Service Bus kuyruklarına veya konu başlıklarına veri aktarmasına izin verir. Aşağıdaki adımları da uygulamanız gerekir:
|
| Azure Digital Twins | Azure Digital Twins'in Service Bus ad alanınızdaki Service Bus konularına veri çıkışı yapmasına izin verir. Aşağıdaki adımları da uygulamanız gerekir:
|
| Azure İzleyici (Tanılama Ayarları ve Eylem Grupları) | Azure İzleyici'nin Service Bus ad alanınızdaki Service Bus'a tanılama bilgileri ve uyarı bildirimleri göndermesine izin verir. Azure İzleyici, Service Bus ad alanından veri okuyabilir ve bu ad alanına veri yazabilir. |
| Azure Synapse | Azure Synapse Synapse Çalışma Alanı Yönetilen Kimliği'ni kullanarak service bus'a bağlanmasını sağlar. Service Bus ad alanında Azure Service Bus Veri Göndereni, Alıcı veya Sahip rolünü kimliğe ekleyin. |
Azure Service Bus için diğer güvenilen hizmetler aşağıda bulunabilir:
- Azure Veri Gezgini
- Azure Sağlık Verisi Hizmetleri
- Azure Arc
- Azure Kubernetes
- Azure Machine Learning
- Microsoft Purview
Güvenilen hizmetlerin ad alanınıza erişmesine izin vermek için Ağ sayfasındaki Genel Erişim sekmesine geçin ve Güvenilen Microsoft hizmetlerinin bu güvenlik duvarını atlamasına izin ver? için Evet'i seçin.
PowerShell kullanarak özel uç nokta ekleme
Aşağıdaki örnekte, Service Bus ad alanına özel uç nokta bağlantısı oluşturmak için Azure PowerShell nasıl kullanacağınız gösterilmektedir.
Özel uç noktanız ve sanal ağınız aynı bölgede olmalıdır. Service Bus ad alanınız farklı bir bölgede olabilir. Özel uç noktanız sanal ağınızda özel bir IP adresi kullanır.
$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VNET LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"
# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation
# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
-ResourceGroupName $rgName `
-Location $vnetlocation `
-Name $vnetName `
-AddressPrefix 10.0.0.0/16
# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
-Name $subnetName `
-AddressPrefix 10.0.0.0/24 `
-PrivateEndpointNetworkPoliciesFlag "Disabled" `
-VirtualNetwork $virtualNetwork
# update virtual network
$virtualNetwork | Set-AzVirtualNetwork
# create premium service bus namespace
$namespaceResource = New-AzResource -Location $namespaceLocation -ResourceName $namespaceName -ResourceGroupName $rgName -Sku @{name = "Premium"; capacity = 1} -Properties @{} -ResourceType "Microsoft.ServiceBus/namespaces" -
# create a private link service connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
-Name $peConnectionName `
-PrivateLinkServiceId $namespaceResource.ResourceId `
-GroupId "namespace"
# get subnet object that you will use in the next step
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
| Where-Object {$_.Name -eq $subnetName}
# now, create private endpoint
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName `
-Name $vnetName `
-Location $vnetlocation `
-Subnet $subnet `
-PrivateLinkServiceConnection $privateEndpointConnection
(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties
Azure portal kullanarak özel uç noktaları yönetme
Özel uç nokta oluşturduğunuzda bağlantının onaylanması gerekir. Özel uç nokta oluşturmakta olduğunuz kaynak dizininizdeyse, yeterli izinlere sahip olmanız koşuluyla bağlantı isteğini onaylayabilirsiniz. Başka bir dizindeki bir Azure kaynağına bağlanıyorsanız, bu kaynağın sahibinin bağlantı isteğinizi onaylamasını beklemeniz gerekir.
Dört sağlama durumu vardır:
| Hizmet eylemi | Hizmet tüketicisi özel uç nokta durumu | Açıklama |
|---|---|---|
| Hiçbiri | Beklemede | Bağlantı el ile oluşturulur ve Özel Bağlantı kaynak sahibinden onay bekliyor. |
| Onaylama | Onaylandı | Bağlantı otomatik olarak veya el ile onaylandı ve kullanılmaya hazır. |
| Reddet | Reddedildi | Bağlantı, özel bağlantı kaynağı sahibi tarafından reddedildi. |
| Kaldır | Bağlantı kesildi | Bağlantı özel bağlantı kaynağı sahibi tarafından kaldırıldı, özel uç nokta bilgilendirici hale gelir ve temizleme için silinmelidir. |
Özel uç nokta bağlantısını onaylama, reddetme veya kaldırma
- Azure portalında oturum açın.
- Arama çubuğuna Service Bus yazın.
- Yönetmek istediğiniz ad alanını seçin.
- Ağ sekmesini seçin.
- İstediğiniz işleme göre aşağıdaki uygun bölüme bakın: onaylama, reddetme veya kaldırma.
Özel uç nokta bağlantısını onaylama
Bekleyen herhangi bir bağlantı varsa sağlama durumunda Beklemede olarak listelenen bir bağlantı görürsünüz.
Onaylamak istediğiniz özel uç noktayı seçin
Onayla düğmesini seçin.
Bağlantıyı onayla sayfasında isteğe bağlı bir açıklama girin ve Evet'i seçin. Hayır'ı seçerseniz hiçbir şey olmaz.
Listede bağlantının durumunun Onaylandı olarak değiştiğini görmeniz gerekir.
Özel uç nokta bağlantısını reddetme
Reddetmek istediğiniz herhangi bir özel uç nokta bağlantısı varsa ( bekleyen bir istek veya daha önce onaylanan mevcut bir bağlantı olsun), uç nokta bağlantısını seçin ve Reddet düğmesini seçin.
Bağlantıyı reddet sayfasında isteğe bağlı bir açıklama girin ve Evet'i seçin. Hayır'ı seçerseniz hiçbir şey olmaz.
Listede bağlantının durumunun Reddedildi olarak değiştiğini görmeniz gerekir.
Özel uç nokta bağlantısını kaldırma
Özel uç nokta bağlantısını kaldırmak için listeden bu bağlantıyı seçin ve araç çubuğunda Kaldır'ı seçin.
Bağlantıyı sil sayfasında Evet'i seçerek özel uç noktanın silinmesini onaylayın. Hayır'ı seçerseniz hiçbir şey olmaz.
Durumun Bağlantısı Kesildi olarak değiştirildiğini görmeniz gerekir. Ardından uç nokta listeden kaybolur.
Özel bağlantı bağlantısının çalıştığını doğrulama
Özel uç noktanın sanal ağı içindeki kaynakların Service Bus ad alanınıza özel bir IP adresi üzerinden bağlandığını ve doğru özel DNS bölgesi tümleştirmesine sahip olduklarını doğrulamanız gerekir.
İlk olarak, Azure portal Windows sanal makinesi oluşturma bölümünde yer alan adımları izleyerek bir sanal makine oluşturun
Ağ sekmesinde:
- Sanal ağ ve Alt ağ belirtin. Özel uç noktayı dağıtılan Sanal Ağ seçmeniz gerekir.
- Bir genel IP kaynağı belirtin.
- NIC ağ güvenlik grubu için Yok'u seçin.
- Yük dengeleme için Hayır'ı seçin.
VM'ye bağlanın, komut satırını açın ve aşağıdaki komutu çalıştırın:
nslookup <service-bus-namespace-name>.servicebus.windows.net
Aşağıdakine benzer bir sonuç görmeniz gerekir.
Non-authoritative answer:
Name: <service-bus-namespace-name>.privatelink.servicebus.windows.net
Address: 10.0.0.4 (private IP address associated with the private endpoint)
Aliases: <service-bus-namespace-name>.servicebus.windows.net
Sınırlamalar ve Tasarım Konuları
- Fiyatlandırma bilgileri için bkz. Azure Özel Bağlantı fiyatlandırma.
- Bu özellik tüm Azure genel bölgelerinde kullanılabilir.
- Service Bus ad alanı başına en fazla özel uç nokta sayısı: 120.
- Trafik TCP katmanında değil uygulama katmanında engellenir. Bu nedenle, genel erişim devre dışı bırakılıyor olsa bile tcp bağlantılarının veya
nslookupişlemlerinin genel uç noktada başarılı olduğunu görürsünüz.
Daha fazla bilgi için bkz. Azure Özel Bağlantı hizmeti: Sınırlamalar
Sonraki adımlar
- Azure Özel Bağlantı hakkında daha fazla bilgi edinin
- Azure Service Bus hakkında daha fazla bilgi edinin