Introducción:
Al administrar cuentas de Azure Storage, configurar las reglas de firewall es esencial para proteger los datos. Sin embargo, ciertos comportamientos, como que Azure Data Factory acceda al almacenamiento aunque el acceso a la red pública esté deshabilitado, pueden causar confusión. En este artículo, exploraremos por qué sucede esto, el papel de los servicios de confianza de Azure y cómo solucionar posibles problemas de conexión de red.
Tabla de contenido
1. El problema del cliente: acceso inesperado
Un cliente informó de que, después de establecer el acceso de red pública del firewall de su cuenta de almacenamiento en «Deshabilitado», ciertas cargas de trabajo de Azure Data Factory aún podían acceder a la cuenta de almacenamiento y leer sus datos.
Durante la investigación del equipo de Azure CSS, se observaron dos direcciones IP públicas que accedían a la cuenta de almacenamiento:
- Una dirección IP reservada de Azure Data Factory.
- Un servidor local del cliente que ejecuta un entorno de ejecución de integración autohospedado de Data Factory.
2. Investigación del comportamiento
El problema suscitó dudas sobre por qué el agente de Azure Data Factory podía conectarse correctamente a la cuenta de almacenamiento a pesar del acceso restringido a la red pública.
3. El papel de los servicios de confianza de Azure
La opción «Permitir que los servicios de Azure de la lista de servicios de confianza accedan a esta cuenta de almacenamiento» está diseñada para permitir que servicios específicos de Azure omitan las restricciones del firewall y accedan a la cuenta de almacenamiento. Esto incluye Azure Data Factory.
Incluso cuando el firewall está configurado con cualquiera de estas opciones:
- «Habilitado desde redes virtuales y direcciones IP seleccionadas», o
- «Deshabilitado»,
…la excepción de servicios de confianza sigue activa si la opción está habilitada.
4. Comportamiento esperado y documentación
Este comportamiento es intencional y tiene como objetivo facilitar escenarios en los que el acceso público está deshabilitado, pero ciertos servicios de confianza de Azure aún necesitan acceso.
Para obtener más información, consulte la documentación oficial:
Configurar firewalls y redes virtuales de Azure Storage | Microsoft Learn
5. Consejos para solucionar problemas de red
Si encuentra problemas de conexión de red con su cuenta de Azure Storage, considere usar Microsoft Azure Storage Explorer. Esta herramienta proporciona información valiosa y puede ayudar a diagnosticar eficazmente los problemas de conectividad.
Conclusión
Comprender el comportamiento de las reglas de firewall de las cuentas de Azure Storage y el papel de los servicios de confianza de Azure es fundamental para garantizar configuraciones seguras y funcionales. Al habilitar los servicios de confianza, puede permitir que servicios esenciales de Azure, como Data Factory, accedan a su cuenta de almacenamiento sin comprometer la seguridad.