Всегда ли конечная точка службы является самым безопасным способом доступа к ресурсу в Azure? - PullRequest
Новая
       42

Всегда ли конечная точка службы является самым безопасным способом доступа к ресурсу в Azure?

0 голосов
/ 16 октября 2019

Я строю архитектуру, в которой вы можете запускать функцию Azure для отправки данных в базу данных Cosmos, которая находится за моей DMZ. В некоторых руководствах по внедрению говорится, что конечная точка службы должна быть всегда включена, если это возможно. Однако, если я сделаю это, БД Cosmos потенциально может быть подключен к Интернету (хотя я бы не разрешил использование IP-адресов в брандмауэре Cosmos DB). Под экспозицией я подразумеваю порядок обработки сервисов в Azure (https://msdnshared.blob.core.windows.net/media/2016/05/1.bmp).. Таким образом, база данных Cosmos по умолчанию будет иметь публичную конечную точку.

Могу ли я ограничить любой публичный доступ из Интернета, кроме блокировки всехIP-адреса?

1 Ответ

1 голос
/ 16 октября 2019

Могу ли я ограничить любой общедоступный доступ из Интернета, кроме блокировки всех IP-адресов?

На самом деле, включив конечную точку службы, вы ограничили, что только запросы, исходящие от этогоподсеть может обращаться к базе данных Azure Cosmos. Трафик из вашей виртуальной сети в службу Azure всегда остается в магистральной сети Microsoft Azure. Таким образом, это безопасный способ доступа к ресурсам в Azure.

После включения конечной точки службы исходные IP-адреса виртуальных машин в подсети переключаются с использования общедоступных IPv4-адресов на использование их частного IPv4-адреса при взаимодействии сслужба из этой подсети. Кроме того, NSG по умолчанию, связанный с этой подсетью, продолжает работать с конечными точками службы, читайте здесь . Если вы хотите запретить весь исходящий интернет-трафик и разрешить доступ к Космос БД только из этой подсети, вы можете добавить метку службы в качестве пункта назначения в правилах исходящих сообщений в NSG.

enter image description here

edit

Вы могли бы взглянуть на эту закрытую ссылку Azure (превью) , но, похоже, она еще не доступна для учетной записи Azure Cosmos DB.

Частная связь Azure позволяет вам получать доступ к службам Azure PaaS (например, хранилище Azure и база данных SQL) и размещенным в Azure службам клиентов / партнеров через частную конечную точку в вашей виртуальной сети. Трафик между вашей виртуальной сетью и службой проходит через магистральную сеть Microsoft, исключая воздействие в общедоступном Интернете.

...