Sprache: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

So fügen Sie ein virtuelles Netzwerk regions- und mandantenübergreifend zur Firewall eines Azure-Speicherkontos hinzu

von

Das Hinzufügen eines virtuellen Netzwerks aus einem anderen Mandanten zur Firewall eines Azure Storage-Kontos ist ein gängiges Szenario zum Testen der Konnektivität, zum sicheren Teilen von Dateien oder zur Zusammenarbeit zwischen Partnern. Dadurch wird sichergestellt, dass der Datenzugriff auf bestimmte Netzwerke beschränkt bleibt, ohne das Speicherkonto für alle Netzwerke freizugeben.

In dieser Anleitung konzentrieren wir uns darauf, dieses Ziel mit PowerShell und Azure CLI auf lokalen Rechnern zu erreichen. Wir geben außerdem Tipps und Hinweise für regions- und mandantenübergreifende Konfigurationen.

Wichtiger Anwendungsfall

Dieser Ansatz ist ideal für Szenarien wie:

  • Testen der Konnektivität zwischen Anwendungen in verschiedenen Mandanten oder Regionen.
  • Partnern oder Mitarbeitern einen sicheren Zugriff auf Dateien zu ermöglichen, ohne das Speicherkonto für alle Netzwerke zu öffnen.

Voraussetzungen

Stellen Sie vor dem Fortfahren Folgendes sicher:

  1. Sie haben Zugriff auf das Azure-Abonnement, das das Speicherkonto enthält.
  2. Sie verfügen über Administratorrechte für das virtuelle Netzwerk und das Subnetz im anderen Mandanten oder in der anderen Region.
  3. Sie haben die erforderlichen Tools installiert: Azure PowerShell oder Azure CLI.

Vorgehensweise mit PowerShell

Schritt 1: Az-Modul installieren

Befolgen Sie die Schritt-für-Schritt-Anleitung auf Microsoft Learn, um Azure PowerShell unter Windows zu installieren.

Schritt 2: Virtuelles Netzwerk und Storage-Konto-Firewall konfigurieren

Führen Sie die folgenden Befehle in Ihrer PowerShell-Sitzung aus:

# Import Az.Storage module
Import-Module -Name Az.Storage

# Authenticate and connect to your Azure account
Connect-AzAccount

# Select the subscription containing the storage account
Select-AzSubscription -SubscriptionId "xxxx-xxxx-xxxx-xxxx"

# List existing virtual network rules for the storage account
(Get-AzStorageAccountNetworkRuleSet -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount").VirtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

# Add a network rule for the virtual network and subnet
$subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
Add-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -VirtualNetworkResourceId $subnet.Id

Vorgehensweise mit der Azure CLI

Schritt 1: Azure CLI installieren

Befolgen Sie die Installationsanleitung für Ihre Plattform: Azure CLI installieren.

Schritt 2: Virtuelles Netzwerk und Storage-Konto-Firewall konfigurieren

Führen Sie die folgenden Befehle in Ihrer CLI-Sitzung aus:

# Authenticate and sign in to your Azure account
az login

# List existing virtual network rules for the storage account
az storage account network-rule list --resource-group "myresourcegroup" --account-name "mystorageaccount" --query virtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

# Add a network rule for the virtual network and subnet
subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
az storage account network-rule add --resource-group "myresourcegroup" --account-name "mystorageaccount" --subnet $subnetid

Besondere Überlegungen

Mandantenübergreifende Virtual-Network-Regeln

Um eine Netzwerkregel für ein Subnetz in einem virtuellen Netzwerk hinzuzufügen, das zu einem anderen Microsoft Entra-Mandanten gehört, müssen Sie den vollqualifizierten VirtualNetworkResourceId Parameter verwenden. Das Format lautet:

/subscriptions/<subscription-ID>/resourceGroups/<resourceGroup-Name>/providers/Microsoft.Network/virtualNetworks/<vNet-name>/subnets/<subnet-name>

Stellen Sie sicher, dass Sie die korrekte Abonnement-ID und die Details der Ressourcengruppe für das virtuelle Netzwerk im anderen Mandanten haben.

Regionsübergreifende Dienstendpunkte

Lokale und regionsübergreifende Dienstendpunkte können nicht auf demselben Subnetz koexistieren. Wenn Sie vorhandene Dienstendpunkte durch regionsübergreifende ersetzen müssen:

  1. Löschen Sie die vorhandenen Microsoft.Storage Endpunkte.
  2. Erstellen Sie sie als regionsübergreifende Endpunkte neu (Microsoft.Storage.Global).

Zusätzliche Tipps

  1. Konnektivität testen
    Testen Sie nach dem Hinzufügen der Virtual-Network-Regel die Konnektivität zum Speicherkonto mit Tools wie Azure Storage Explorer oder anwendungsspezifischen Konfigurationen.
  2. Dokumentationsverweis
    Ausführliche Anleitungen finden Sie unter Konfigurieren von Azure Storage-Firewalls und virtuellen Netzwerken.
  3. Kostenaspekte
    • Das Aktivieren von Dienstendpunkten kann je nach Ihrem Azure-Preismodell zusätzliche Kosten verursachen.
    • Regionsübergreifende Konfigurationen verursachen in der Regel höhere Kosten für ausgehenden Netzwerkverkehr.

Fazit

Das Hinzufügen eines virtuellen Netzwerks aus einer anderen Region oder einem anderen Mandanten zur Firewall eines Azure Storage-Kontos ist mit PowerShell oder Azure CLI ein unkomplizierter Vorgang. Wenn Sie die in dieser Anleitung beschriebenen Schritte befolgen, können Sie einen sicheren Zugriff auf Ihr Speicherkonto konfigurieren und gleichzeitig strenge Netzwerkregeln einhalten.

Kommentar hinterlassen