Введение:
При управлении учетными записями хранения Azure настройка правил брандмауэра крайне важна для защиты данных. Однако определенное поведение, например доступ Azure Data Factory к хранилищу при отключенном публичном сетевом доступе, может вызывать недоумение. В этой статье мы рассмотрим, почему это происходит, роль доверенных служб Azure и способы устранения возможных проблем с сетевым подключением.
Содержание
1. Проблема клиента: неожиданный доступ
Клиент сообщил, что после установки публичного сетевого доступа брандмауэра учетной записи хранения в значение «Отключено» некоторые рабочие нагрузки Azure Data Factory по-прежнему могли получать доступ к учетной записи хранения и читать данные.
В ходе расследования, проведенного командой Azure CSS, было замечено, что к учетной записи хранения обращались два публичных IP-адреса:
- Зарезервированный IP-адрес Azure Data Factory.
- Локальный сервер клиента, на котором выполняется среда выполнения интеграции с собственным размещением Data Factory.
2. Исследование поведения
Проблема вызвала вопросы о том, почему агенту Azure Data Factory удалось успешно подключиться к учетной записи хранения, несмотря на ограниченный публичный сетевой доступ.
3. Роль доверенных служб Azure
Параметр «Разрешить службам Azure из списка доверенных служб доступ к этой учетной записи хранения» предназначен для того, чтобы разрешить определенным службам Azure обходить ограничения брандмауэра и получать доступ к учетной записи хранения. К ним относится Azure Data Factory.
Даже если брандмауэр настроен с любым из этих вариантов:
- «Включено для выбранных виртуальных сетей и IP-адресов», или
- «Отключено»,
…исключение для доверенных служб остается активным, если этот параметр включен.
4. Ожидаемое поведение и документация
Такое поведение предусмотрено конструкцией и призвано обеспечить сценарии, в которых публичный доступ отключен, но определенным доверенным службам Azure доступ по-прежнему требуется.
Подробнее см. в официальной документации:
Настройка брандмауэров и виртуальных сетей службы хранилища Azure | Microsoft Learn
5. Советы по устранению неполадок сети
Если у вас возникли проблемы с сетевым подключением к учетной записи хранения Azure, попробуйте использовать Microsoft Azure Storage Explorer. Этот инструмент предоставляет ценную информацию и помогает эффективно диагностировать проблемы с подключением.
Заключение
Понимание поведения правил брандмауэра учетных записей хранения Azure и роли доверенных служб Azure крайне важно для обеспечения безопасных и работоспособных конфигураций. Включив доверенные службы, вы можете разрешить таким важным службам Azure, как Data Factory, доступ к вашей учетной записи хранения без ущерба для безопасности.