Langue: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Comment ajouter un réseau virtuel au pare-feu d’un compte de stockage Azure entre régions et locataires

par

L’ajout d’un réseau virtuel d’un autre locataire au pare-feu d’un compte Azure Storage est un scénario courant pour tester la connectivité, partager des fichiers en toute sécurité ou permettre la collaboration entre partenaires. Cela garantit que l’accès aux données est limité à des réseaux précis, sans exposer le compte de stockage à tous les réseaux.

Dans ce guide, nous nous concentrerons sur la réalisation de cet objectif à l’aide de PowerShell et Azure CLI sur des machines locales. Nous fournirons également des conseils et des points importants pour les configurations inter-régions et inter-locataires.

Cas d’usage principal

Cette approche est idéale pour des scénarios tels que :

  • Tester la connectivité entre des applications situées dans différents locataires ou régions.
  • Permettre à des partenaires ou collaborateurs d’accéder aux fichiers en toute sécurité sans ouvrir le compte de stockage à tous les réseaux.

Prérequis

Avant de continuer, assurez-vous des points suivants :

  1. Vous avez accès à l’abonnement Azure contenant le compte de stockage.
  2. Vous disposez de privilèges d’administration pour le réseau virtuel et le sous-réseau de l’autre locataire ou de l’autre région.
  3. Vous avez installé les outils requis : Azure PowerShell ou Azure CLI.

Approche avec PowerShell

Étape 1 : installer le module Az

Suivez les instructions étape par étape sur Microsoft Learn pour installer Azure PowerShell sur Windows.

Étape 2 : configurer le réseau virtuel et le pare-feu du compte de stockage

Exécutez les commandes suivantes dans votre session PowerShell :

# Import Az.Storage module
Import-Module -Name Az.Storage

# Authenticate and connect to your Azure account
Connect-AzAccount

# Select the subscription containing the storage account
Select-AzSubscription -SubscriptionId "xxxx-xxxx-xxxx-xxxx"

# List existing virtual network rules for the storage account
(Get-AzStorageAccountNetworkRuleSet -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount").VirtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

# Add a network rule for the virtual network and subnet
$subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
Add-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -VirtualNetworkResourceId $subnet.Id

Approche avec Azure CLI

Étape 1 : installer Azure CLI

Suivez le guide d’installation pour votre plateforme : Installer Azure CLI.

Étape 2 : configurer le réseau virtuel et le pare-feu du compte de stockage

Exécutez les commandes suivantes dans votre session CLI :

# Authenticate and sign in to your Azure account
az login

# List existing virtual network rules for the storage account
az storage account network-rule list --resource-group "myresourcegroup" --account-name "mystorageaccount" --query virtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

# Add a network rule for the virtual network and subnet
subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
az storage account network-rule add --resource-group "myresourcegroup" --account-name "mystorageaccount" --subnet $subnetid

Considérations particulières

Règles de réseau virtuel inter-locataires

Pour ajouter une règle réseau pour un sous-réseau d’un réseau virtuel appartenant à un autre locataire Microsoft Entra, vous devez utiliser le paramètre VirtualNetworkResourceId complet. Le format est le suivant :

/subscriptions/<subscription-ID>/resourceGroups/<resourceGroup-Name>/providers/Microsoft.Network/virtualNetworks/<vNet-name>/subnets/<subnet-name>

Assurez-vous de disposer de l’ID d’abonnement correct et des détails du groupe de ressources pour le réseau virtuel de l’autre locataire.

Points de terminaison de service inter-régions

Les points de terminaison de service locaux et inter-régions ne peuvent pas coexister sur le même sous-réseau. Si vous devez remplacer les points de terminaison de service existants par des points inter-régions :

  1. Supprimez les points de terminaison Microsoft.Storage existants.
  2. Recréez-les en tant que points de terminaison inter-régions (Microsoft.Storage.Global).

Conseils supplémentaires

  1. Test de la connectivité
    Après avoir ajouté la règle de réseau virtuel, testez la connectivité au compte de stockage à l’aide d’outils tels que Azure Storage Explorer ou de configurations propres à l’application.
  2. Référence documentaire
    Pour des instructions détaillées, consultez Configurer les pare-feu Azure Storage et les réseaux virtuels.
  3. Considérations de coût
    • L’activation des points de terminaison de service peut entraîner des coûts supplémentaires selon votre modèle de tarification Azure.
    • Les configurations inter-régions entraînent généralement des frais de sortie réseau plus élevés.

Conclusion

L’ajout d’un réseau virtuel d’une autre région ou d’un autre locataire au pare-feu d’un compte Azure Storage est un processus simple avec PowerShell ou Azure CLI. En suivant les étapes décrites dans ce guide, vous pouvez configurer un accès sécurisé à votre compte de stockage tout en conservant des règles réseau strictes.

Laisser un commentaire