Azure Event Grid ad alanları için ağ güvenliği

Bu makalede, Azure Event Grid ile aşağıdaki güvenlik özelliklerinin nasıl kullanılacağı açıklanmaktadır:

• Ağ çıkışı için hizmet etiketleri
• IP Güvenlik Duvarı kuralları
• Özel uç noktalar

Hizmet etiketleri

Hizmet etiketi, belirli bir Azure hizmetinden ip adresi ön ekleri grubunu temsil eder. Microsoft, hizmet etiketiyle kapsadığı adres ön eklerini yönetir ve adresler değiştikçe hizmet etiketini otomatik olarak güncelleştirir ve ağ güvenlik kurallarında sık sık yapılan güncelleştirmelerin karmaşıklığını en aza indirir. Hizmet etiketleri hakkında daha fazla bilgi için bkz . Hizmet etiketlerine genel bakış.

Ağ güvenlik gruplarında veya Azure güvenlik duvarında ağ erişim denetimlerini tanımlamak için hizmet etiketlerini kullanabilirsiniz. Güvenlik kuralları oluştururken belirli IP adreslerinin yerine hizmet etiketlerini kullanın. Bir kuralın uygun kaynak veya hedef alanlarında hizmet etiketi adını (örneğin, Azure Event Grid) belirterek, ilgili hizmet için trafiğe izin verebilir veya trafiği reddedebilirsiniz.

IP güvenlik duvarı

Varsayılan olarak, istek geçerli kimlik doğrulaması (erişim anahtarı) ve yetkilendirme ile birlikte geldiği sürece Event Grid ad alanlarına ve varlıklarına İnternet'ten erişilebilir. IP güvenlik duvarı ile, bunu yalnızca CIDR (Sınıfsız Etki Alanları Arası Yönlendirme) gösterimindeki bir dizi IPv4 adresi veya IPv4 adres aralığıyla kısıtlayabilirsiniz. Başka bir IP adresinden gelen istemciler reddedilir ve 403 (Yasak) yanıtı alır.

İleti Kuyruğa Alma Telemetri Aktarımı (MQTT) senaryolarında yalnızca izin verilen IP aralığına giren istemciler olayları yayımlamak ve bunlara abone olmak için bağlanabilir. Daha fazla bilgi için bkz. MQTT senaryolarında Event Grid ad alanları için IP güvenlik duvarını yapılandırma.

MQTT olmayan senaryolarda yalnızca izin verilen IP aralığına giren istemciler olayları veya çekme olaylarını yayımlamak için Azure Event Grid'e bağlanabilir. Daha fazla bilgi için bkz. MQTT dışı senaryolarda Event Grid ad alanları için IP güvenlik duvarını yapılandırma.

Adımlar her iki senaryo için de aynıdır. Bu makaleler, MQTT veya MQTT dışı senaryolara özgü bazı ek bilgiler sağlar.

Özel uç noktalar

Özel uç nokta, sanal ağınızdaki bir Azure hizmeti için özel bir ağ arabirimidir. Ad alanınız için özel bir uç nokta oluşturduğunuzda, sanal ağınızdaki istemciler ile Event Grid ad alanınız arasında güvenli bağlantı sağlar. Özel uç noktaya sanal ağınızın IP adresi aralığından bir IP adresi atanır. Özel uç nokta ile Event Grid hizmeti arasındaki bağlantı güvenli bir özel bağlantı kullanır. Event Grid ad alanınız için özel uç noktaları kullanmak şunları sağlar:

• Genel İnternet yerine Microsoft omurga ağı üzerinden bir sanal ağdan ad alanınıza güvenli erişim sağlayın.
• Özel eşleme ile VPN veya Express Routes kullanarak sanal ağa bağlanan şirket içi ağlardan güvenli bir şekilde bağlanın.

Sanal ağınızdaki bir ad alanı için özel uç nokta oluşturduğunuzda, kaynak sahibine onay için bir onay isteği gönderilir. Özel uç noktanın oluşturulmasını isteyen kullanıcı da kaynağın sahibiyse, bu onay isteği otomatik olarak onaylanır. Aksi takdirde, bağlantı onaylanana kadar bekleme durumundadır. Sanal ağdaki uygulamalar, aksi takdirde kullanacakları aynı bağlantı dizesi ve yetkilendirme mekanizmalarını kullanarak özel uç nokta üzerinden Event Grid hizmetine sorunsuz bir şekilde bağlanabilir. Kaynak sahipleri, Azure portalındaki kaynağın Özel uç noktalar sekmesi aracılığıyla onay isteklerini ve özel uç noktaları yönetebilir.

Özel ağdaki bir MQTT istemcisi özel bir bağlantıdaki MQTT aracısı ile bağlantı kurduğunda, istemci MQTT iletilerini yayımlayabilir ve abone olabilir. Daha fazla bilgi için bkz . MQTT senaryolarında ad alanları için özel uç noktaları yapılandırma.

MQTT olmayan senaryolarda, özel ağdaki bir istemci Event Grid ad alanına bağlanabilir ve olayları yayımlayabilir veya olayları çekebilir. Daha fazla bilgi için bkz . MQTT olmayan senaryolarda ad alanları için özel uç noktaları yapılandırma.

Özel uç noktalara bağlanma

Özel uç noktaları kullanarak olayların sanal ağınızdan Event Grid ad alanlarınızdaki varlıklara, genel İnternet'ten geçmeden özel bir bağlantı üzerinden güvenli bir şekilde girişine olanak sağlayabilirsiniz. Özel uç nokta, ad alanınız için sanal ağ adres alanından bir IP adresi kullanır.

Özel uç noktayı kullanan bir sanal ağdaki istemciler, ad alanı için ortak uç noktaya bağlanan istemciler ile aynı bağlantı dizesini kullanmalıdır. Etki Alanı Adı Sistemi (DNS) çözümlemesi, bağlantıları özel bir bağlantı üzerinden sanal ağdan ad alanına otomatik olarak yönlendirir. Event Grid, varsayılan olarak özel uç noktalar için gerekli güncelleştirmeyle sanal ağa bağlı bir özel DNS bölgesi oluşturur. Ancak, kendi DNS sunucunuzu kullanıyorsanız DNS yapılandırmanızda ek değişiklikler yapmanız gerekebilir.

Özel ağdaki bir MQTT istemcisi özel bir bağlantıdaki MQTT aracısına bağlandığında, istemci MQTT iletilerini yayımlayabilir ve abone olabilir.

Özel uç noktalar için DNS değişiklikleri

Özel uç nokta oluşturduğunuzda, kaynağın DNS CNAME kaydı, privatelink ön ekine sahip bir alt etki alanında bir takma ad olarak güncelleştirilir. Varsayılan olarak, özel bağlantının alt etki alanına karşılık gelen bir özel DNS bölgesi oluşturulur.

Özel uç noktayı kullanarak, sanal ağın dışından ad alanı uç noktası URL'sini sorguladığınızda, hizmetin genel uç noktasına yönlendirilir. Özel uç noktayı barındıran sanal ağın dışından çözümlendiğinde 'namespaceA' için DNS kaynak kayıtları şunlardır:

IP güvenlik duvarını kullanarak genel uç nokta üzerinden sanal ağ dışındaki bir istemcinin erişimini reddedebilir veya denetleyebilirsiniz.

Özel uç noktayı barındıran sanal ağdan çözümlendiğinde, ad alanı uç noktası URL'si özel uç noktanın IP adresine çözümlenir. Özel uç noktayı barındıran sanal ağın içinden çözümlendiğinde 'namespaceA' ad alanının DNS kaynak kayıtları şunlardır:

Bu yaklaşım, özel uç noktaları barındıran sanal ağdaki istemciler ve sanal ağ dışındaki istemciler için aynı bağlantı dizesini kullanarak ad alanına erişim sağlar.

Ağınızda özel bir DNS sunucusu kullanıyorsanız, istemciler ad alanı uç noktası için Tam Etki Alanı Adı'nı (FQDN) özel uç nokta IP adresine çözümleyebilir. DNS sunucunuzu, özel bağlantı alt alan adınızı sanal ağ için özel DNS bölgesine delege edecek şekilde yapılandırın veya A kayıtlarını namespaceName.regionName.privatelink.eventgrid.azure.net için özel uç nokta IP adresiyle yapılandırın.

Önerilen DNS bölgesi adıdır privatelink.eventgrid.azure.net.

Özel uç noktalar ve yayımlama

Aşağıdaki tabloda, özel uç nokta bağlantısının çeşitli durumları ve yayımlama üzerindeki etkileri açıklanmaktadır:

Yayımlamanın başarılı olması için özel uç nokta bağlantı durumunun onaylanması gerekir. Bağlantı reddedilirse, Azure portalı kullanılarak onaylanamaz. Tek olasılık, bağlantıyı silmek ve bunun yerine yeni bir bağlantı oluşturmaktır.

Kotalar ve sınırlar

Ad alanı başına IP güvenlik duvarı kurallarının ve özel uç nokta bağlantılarının sayısında bir sınır vardır. Bkz. Event Grid kotaları ve sınırları.

İlgili makaleler

MQTT kullanıyorsanız aşağıdaki makalelere bakın:

• MQTT senaryolarında Event Grid ad alanları için IP güvenlik duvarı yapılandırma
• MQTT senaryolarında Event Grid ad alanları için özel uç noktaları yapılandırma

Çekme tabanlı olay teslimi için aşağıdaki makalelere bakın:

• MQTT olmayan senaryolarda Event Grid ad alanları için IP güvenlik duvarı yapılandırma
• MQTT olmayan senaryolarda Event Grid ad alanları için özel uç noktaları yapılandırma