Azure Private Linkについて

概要

https://docs.microsoft.com/ja-jp/azure/private-link/private-link-overview
よりセキュアにPaasサービスに接続できまっせというもの

手順参考url

プライベートエンドポイントを作成する
https://docs.microsoft.com/ja-jp/azure/private-link/create-private-endpoint-portal
非公開でストレージに接続する
https://docs.microsoft.com/ja-jp/azure/private-link/create-private-endpoint-storage-portal

環境構成

Virtual Network

仮想ネットワークを作成しておきます
Private Linkはこのネットワーク内のPrivate IPをPaaSサービスに割当てて各サービスに接続する仕組みのようです。

Storage Account

テスト対象のストレージを作成します。

ストレージアカウント作成

ネットワーク設定部分にPrivate Linkの設定が表示されるようにUIが変更されています。

Private End Point(Storage)

ではプライベートエンドポイントを作成します

ストレージアカウントが作成できたら信頼されたAzure Serviceのチェックを外しておきます。
これでPrivate Linkの経路以外ではアクセスできないストレージになりました。

SQL Server

作成方法は割愛。こちらはサーバ作るタイミングではネットワーク設定がないので。
Azure Serviceのチェックは外しておきます。

Private Link Center

Private End Pointの一覧が見れます。
ストレージアカウント用のエンドポイントが作成されています。

SQL Serverのエンドポイントを作成しましょう。※画像は西部２にしてますが、米国西部です。

なるほど、ここで他サブスクリプションが選べるのかな

デプロイ先の仮想ネットワークとDNSゾーンの確認をして作成

リソースの状況
エンドポイントを作成すると、エンドポイントを作成したリソース用のNICが作成されます。

内部IPが確認できます。

Network Security Group

ちなみにsubnetの構成は以下。
bastion Subnet・・・踏み台用。WindowsVMをデプロイします。自環境からのRDPのみを許可してます。
default Subnet・・・Private End Pointをデプロイしてます。既定の設定でInt経由のアクセスを不許可です。

Virtual Machine

bastionサブネットにデプロイ

接続確認

IP確認

VMから接続してみます。
まずはIPを確認してみましょう。エンドポイントはDNSゾーンから確認できます。

SQL Server

nslookup <SQL Server名>.privatelink.database.windows.net

ストレージアカウント

nslookup <ストレージアカウント名>.blob.core.windows.net/

見つかりました。Private IPで見えてますね

168.63.129.16はMicrosoftの管理するPublicIPです。
https://docs.microsoft.com/ja-jp/azure/virtual-network/what-is-ip-address-168-63-129-16

では実際に接続をしてみます。

SQL Server接続確認

SQL Server Management Studioから接続してみます。
SQL Server のFWはどこからもアクセスさせない設定です。サービスエンドポイントも使用しないので、ネットワーク選択もしてません。

ローカルPCから接続不可です。

VMからつながりました

Storage Account接続確認

再掲ですが、どこからもアクセスさせない設定です。

ローカルPCから接続不可です。

ドキュメントにhost設定が必要の旨があったので編集しておきます。

VMからつながりました

所感

かなり簡単に作成ができました。
今期のAzureはセキュリティ部分のかゆいところが改善されていきそう。
既存のサービスエンドポイントとの使い分けや、ロードバランサが使えるPrivate Link Serviceの活用は要勉強ですね

追記

2019/10/24
DataFactoryからSelf-hosted iRを使ってStorageAccountのPrivate Endpointにつなごうとしたところ、自動入力される部分が微妙そうで、Endpointのsuffix変更やほかにもちょっと検証が必要そうでした。
検証でき次第記事化（したい）