Idioma: English · 简体中文 · 繁體中文 · Español · Português · Deutsch · Français · 日本語 · 한국어 · Русский · हिन्दी

Como adicionar uma rede virtual ao firewall de uma conta de Armazenamento do Azure entre regiões e locatários

por

Adicionar uma rede virtual de outro locatário ao firewall de uma conta de Armazenamento do Azure é um cenário comum para testar a conectividade, compartilhar arquivos com segurança ou permitir a colaboração entre parceiros. Isso garante que o acesso aos dados fique restrito a redes específicas, sem expor a conta de armazenamento a todas as redes.

Neste guia, vamos nos concentrar em atingir esse objetivo usando PowerShell e Azure CLI em máquinas locais. Também daremos dicas e considerações para configurações entre regiões e entre locatários.

Principal caso de uso

Essa abordagem é ideal para cenários como:

  • Testar a conectividade entre aplicativos em locatários ou regiões diferentes.
  • Permitir que parceiros ou colaboradores acessem arquivos com segurança sem abrir a conta de armazenamento para todas as redes.

Pré-requisitos

Antes de prosseguir, verifique o seguinte:

  1. Você tem acesso à assinatura do Azure que contém a conta de armazenamento.
  2. Você tem privilégios administrativos sobre a rede virtual e a sub-rede no outro locatário ou na outra região.
  3. Você instalou as ferramentas necessárias: Azure PowerShell ou Azure CLI.

Abordagem com o PowerShell

Etapa 1: instalar o módulo Az

Siga as instruções passo a passo no Microsoft Learn para instalar o Azure PowerShell no Windows.

Etapa 2: configurar a rede virtual e o firewall da conta de armazenamento

Execute os comandos a seguir na sua sessão do PowerShell:

# Import Az.Storage module
Import-Module -Name Az.Storage

# Authenticate and connect to your Azure account
Connect-AzAccount

# Select the subscription containing the storage account
Select-AzSubscription -SubscriptionId "xxxx-xxxx-xxxx-xxxx"

# List existing virtual network rules for the storage account
(Get-AzStorageAccountNetworkRuleSet -ResourceGroupName "myresourcegroup" -AccountName "mystorageaccount").VirtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Set-AzVirtualNetworkSubnetConfig -Name "mysubnet" -AddressPrefix "10.0.0.0/24" -ServiceEndpoint "Microsoft.Storage.Global" | Set-AzVirtualNetwork

# Add a network rule for the virtual network and subnet
$subnet = Get-AzVirtualNetwork -ResourceGroupName "myresourcegroup" -Name "myvnet" | Get-AzVirtualNetworkSubnetConfig -Name "mysubnet"
Add-AzStorageAccountNetworkRule -ResourceGroupName "myresourcegroup" -Name "mystorageaccount" -VirtualNetworkResourceId $subnet.Id

Abordagem com a CLI do Azure

Etapa 1: instalar a CLI do Azure

Siga o guia de instalação da sua plataforma: Instalar a CLI do Azure.

Etapa 2: configurar a rede virtual e o firewall da conta de armazenamento

Execute os comandos a seguir na sua sessão da CLI:

# Authenticate and sign in to your Azure account
az login

# List existing virtual network rules for the storage account
az storage account network-rule list --resource-group "myresourcegroup" --account-name "mystorageaccount" --query virtualNetworkRules

# Enable a service endpoint for Azure Storage on an existing virtual network and subnet
az network vnet subnet update --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --service-endpoints "Microsoft.Storage.Global"

# Add a network rule for the virtual network and subnet
subnetid=$(az network vnet subnet show --resource-group "myresourcegroup" --vnet-name "myvnet" --name "mysubnet" --query id --output tsv)
az storage account network-rule add --resource-group "myresourcegroup" --account-name "mystorageaccount" --subnet $subnetid

Considerações especiais

Regras de rede virtual entre locatários

Para adicionar uma regra de rede para uma sub-rede de uma rede virtual que pertence a outro locatário do Microsoft Entra, você deve usar o parâmetro VirtualNetworkResourceId totalmente qualificado. O formato é o seguinte:

/subscriptions/<subscription-ID>/resourceGroups/<resourceGroup-Name>/providers/Microsoft.Network/virtualNetworks/<vNet-name>/subnets/<subnet-name>

Verifique se você tem o ID de assinatura correto e os detalhes do grupo de recursos da rede virtual no outro locatário.

Pontos de extremidade de serviço entre regiões

Pontos de extremidade de serviço locais e entre regiões não podem coexistir na mesma sub-rede. Se você precisar substituir os pontos de extremidade de serviço existentes por pontos entre regiões:

  1. Exclua os pontos de extremidade Microsoft.Storage existentes.
  2. Recrie-os como pontos de extremidade entre regiões (Microsoft.Storage.Global).

Dicas extras

  1. Testar a conectividade
    Depois de adicionar a regra de rede virtual, teste a conectividade com a conta de armazenamento usando ferramentas como Azure Storage Explorer ou configurações específicas do aplicativo.
  2. Referência de documentação
    Para obter instruções detalhadas, consulte Configurar firewalls de Armazenamento do Azure e redes virtuais.
  3. Considerações de custo
    • Habilitar pontos de extremidade de serviço pode gerar custos adicionais dependendo do seu modelo de preços do Azure.
    • Configurações entre regiões normalmente envolvem custos maiores de saída de rede.

Conclusão

Adicionar uma rede virtual de outra região ou outro locatário ao firewall de uma conta de Armazenamento do Azure é um processo simples ao usar o PowerShell ou a CLI do Azure. Ao seguir as etapas descritas neste guia, você pode configurar o acesso seguro à sua conta de armazenamento mantendo regras de rede rigorosas.

Deixe um comentário