Sunucuları Azure Arc'a güvenli bir şekilde bağlamak için Azure Özel Bağlantı kullanma

Azure Özel Bağlantı, özel uç noktaları kullanarak Azure PaaS hizmetlerini sanal ağınıza güvenli bir şekilde bağlamanıza olanak tanır. Birçok hizmet için, kaynak başına bir uç nokta ayarlamanız gerekir. Bu, şirket içi veya çok bulutlu sunucularınızı Azure Arc'a bağlayabileceğiniz ve tüm trafiği genel ağları kullanmak yerine bir Azure ExpressRoute veya siteden siteye VPN bağlantısı üzerinden gönderebileceğiniz anlamına gelir.

Azure Arc özellikli sunuculardan başlayarak, birden çok sunucunun veya makinenin tek bir özel uç nokta kullanarak Azure Arc kaynaklarıyla iletişim kurmasına izin vermek için bir Özel Bağlantı Kapsamı modeli kullanabilirsiniz.

Bu makalede Azure Arc Özel Bağlantı Kapsamının ne zaman kullanılacağı ve nasıl ayarlanacağı ele alınır.

Avantajlar

Özel Bağlantı ile:

• Genel ağ erişimi açmadan Azure Arc'a özel olarak bağlanın.
• Azure Arc özellikli makine veya sunucudaki verilere yalnızca yetkili özel ağlar aracılığıyla erişildiğinden emin olun. Bu, dağıtım sonrası yönetim ve izleme desteği sağlayan makine veya sunucuda yüklü VM uzantılarından gelen verileri de içerir.
• Özel uç noktanız üzerinden bağlanan belirli Azure Arc özellikli sunucuları ve Azure İzleyici gibi diğer Azure hizmet kaynaklarını tanımlayarak özel ağlarınızdan veri sızdırmayı önleyin.
• ExpressRoute ve Özel Bağlantı kullanarak özel şirket içi ağınızı Azure Arc'a güvenli bir şekilde bağlayın.
• Tüm trafiği Microsoft Azure omurga ağı içinde tutun.

Daha fazla bilgi için bkz. Azure Özel Bağlantı temel avantajları.

Nasıl çalışır?

Azure Arc Özel Bağlantı Kapsamı, özel uç noktaları (ve içinde bulundukları sanal ağları) bir Azure kaynağına (bu örnekte Azure Arc özellikli sunucular) bağlar. Azure İzleyici gibi Desteklenen Azure Arc özellikli sunuculardan herhangi birini etkinleştirdiğinizde, bu kaynaklar diğer Azure kaynaklarına bağlanır. Örneğin:

• Azure Otomasyonu Değişiklik İzleme ve Envanter, Azure İzleyici VM içgörüleri ve Azure İzleyici aracısı ile Azure İzleyici günlük koleksiyonu için gereken Log Analytics çalışma alanı.
• güncelleştirme yönetimi ve Değişiklik İzleme ve Envanter için gereken Azure Otomasyonu hesabı.
• Azure Key Vault
• Azure Blob depolama, Özel Betik Uzantısı için gereklidir.

Azure Arc özellikli bir sunucudan başka bir Azure kaynağına bağlantı için her hizmet için Özel Bağlantı yapılandırılması gerekir; bu isteğe bağlıdır, ancak önerilir. Azure Özel Bağlantı için hizmet başına ayrı yapılandırma gerekir.

Daha önce listelenen Azure hizmetleri için Özel Bağlantı yapılandırma hakkında daha fazla bilgi için Azure Otomasyonu, Azure İzleyici, Azure Key Vault veya Azure Blob depolama makalelerine bakın.

• Sanal ağınızdaki Özel Uç Nokta, bu uç noktaların genel IP'lerini kullanmak yerine ağınızın havuzundan özel IP'ler aracılığıyla Azure Arc özellikli sunucu uç noktalarına ulaşmasını sağlar. Bu, VNet'inizi istenmeyen giden trafiğe açmadan Azure Arc özellikli sunucu kaynağınızı kullanmaya devam etmenizi sağlar.

• Özel Uç Nokta'dan kaynaklarınıza giden trafik Microsoft Azure omurgasını aşacak ve genel ağlara yönlendirilmeyecektir.

• Bileşenlerinizin her birini genel ağlardan veri alımına ve sorgulara izin verecek veya bunları reddedecek şekilde yapılandırabilirsiniz. Bu, belirli kaynaklara yönelik trafiği denetleyebilmeniz için kaynak düzeyinde bir koruma sağlar.

Kısıtlamalar ve sınırlamalar

Azure Arc özellikli sunucular Özel Bağlantı Kapsam nesnesi, Özel Bağlantı kurulumunuzu planlarken göz önünde bulundurmanız gereken bir dizi sınıra sahiptir.

• En fazla bir Azure Arc Özel Bağlantı Kapsamını bir sanal ağ ile ilişkilendirebilirsiniz.
• Azure Arc özellikli bir makine veya sunucu kaynağı, Kapsam Özel Bağlantı yalnızca bir Azure Arc özellikli sunucuya bağlanabilir.
• Tüm şirket içi makinelerin, aynı DNS ileticisini kullanarak doğru özel uç nokta bilgilerini (FQDN kayıt adı ve özel IP adresi) çözümleyerek aynı özel uç noktayı kullanması gerekir. Daha fazla bilgi için bkz. Azure Özel Uç Nokta DNS yapılandırması
• Azure Arc özellikli sunucu ve Azure Arc Özel Bağlantı Kapsamı aynı Azure bölgesinde olmalıdır. Özel Uç Nokta ve sanal ağ da aynı Azure bölgesinde olmalıdır, ancak bu bölge Azure Arc Özel Bağlantı Kapsamı ve Arc özellikli sunucunuzdan farklı olabilir.
• Microsoft Entra Id ve Azure Resource Manager'a giden ağ trafiği Azure Arc Özel Bağlantı Kapsamı'na geçiş yapmaz ve varsayılan ağ rotanızı İnternet'e yönlendirmeye devam eder. İsteğe bağlı olarak , Azure Resource Manager trafiğini özel uç noktaya göndermek için bir kaynak yönetimi özel bağlantısı yapılandırabilirsiniz.
• Kullanacağınız diğer Azure hizmetleri , örneğin Azure İzleyici, sanal ağınızda kendi özel uç noktalarını gerektirir.
• Windows Yönetim Merkezi veya SSH kullanarak sunucuya uzaktan erişim şu anda özel bağlantı üzerinden desteklenmiyor.

Özel Bağlantı kurulumunuzu planlama

Sunucunuzu özel bir bağlantı üzerinden Azure Arc'a bağlamak için ağınızı aşağıdakileri gerçekleştirecek şekilde yapılandırmanız gerekir:

1. Siteden siteye VPN veya ExpressRoute bağlantı hattı kullanarak şirket içi ağınızla Azure sanal ağınız arasında bağlantı kurun.

2. Hangi makinelerin veya sunucuların özel uç noktalar üzerinden Azure Arc ile iletişim kurabileceğini denetleyen ve özel uç nokta kullanarak Azure sanal ağınızla ilişkilendirebilen bir Azure Arc Özel Bağlantı Kapsamı dağıtın.

3. Özel uç nokta adreslerini çözümlemek için yerel ağınızdaki DNS yapılandırmasını güncelleştirin.

4. Yerel güvenlik duvarınızı Microsoft Entra Id ve Azure Resource Manager erişimine izin verecek şekilde yapılandırın.

5. Azure Arc özellikli sunuculara kayıtlı makineleri veya sunucuları özel bağlantı kapsamıyla ilişkilendirin.

6. İsteğe bağlı olarak, makinenizin veya sunucunuzun yönettiği diğer Azure hizmetleri için özel uç noktaları dağıtın, örneğin:

   • Azure İzleyici
   • Azure Automation
   • Azure Blob Depolama
   • Azure Key Vault

Bu makalede ExpressRoute bağlantı hattınızı veya siteden siteye VPN bağlantınızı önceden ayarladığınız varsayılır.

Ağ yapılandırması

Azure Arc özellikli sunucular, hibrit makinelerinize veya sunucularınıza bulut yönetimi ve idare getirmek için çeşitli Azure hizmetleriyle tümleştirilir. Bu hizmetlerin çoğu zaten özel uç noktalar sunar, ancak güvenlik duvarınızı ve yönlendirme kurallarınızı, bu hizmetler özel uç noktalar sunana kadar İnternet üzerinden Microsoft Entra Id ve Azure Resource Manager'a erişime izin verecek şekilde yapılandırmanız gerekir.

Bunu başarmanın iki yolu vardır:

• Ağınız İnternet'e bağlı tüm trafiği Azure VPN veya ExpressRoute bağlantı hattı üzerinden yönlendirecek şekilde yapılandırılmışsa, Hizmet etiketlerini kullanarak Azure'daki alt ağınızla ilişkili ağ güvenlik grubunu (NSG) Microsoft Entra Id ve Azure'a giden TCP 443 (HTTPS) erişimine izin verecek şekilde yapılandırabilirsiniz. NSG kuralları aşağıdaki gibi görünmelidir:

  Ayar	Microsoft Entra Id kuralı	Azure kuralı
  Kaynak	Sanal ağ	Sanal ağ
  Kaynak bağlantı noktası aralıkları	*	*
  Hedef	Hizmet Etiketi	Hizmet Etiketi
  Hedef hizmet etiketi	AzureActiveDirectory	AzureResourceManager
  Hedef bağlantı noktası aralıkları	443	443
  Protokol	TCP	TCP
  Eylem	İzin ver	İzin ver
  Öncelik	150 (İnternet erişimini engelleyen kurallardan daha düşük olmalıdır)	151 (İnternet erişimini engelleyen kurallardan daha düşük olmalıdır)
  Veri Akışı Adı	AllowAADOutboundAccess	AllowAzOutboundAccess

• yerel ağınızdaki güvenlik duvarını, indirilebilir hizmet etiketi dosyalarını kullanarak Microsoft Entra Id ve Azure'a giden TCP 443 (HTTPS) erişimine izin verecek şekilde yapılandırın. JSON dosyası, Microsoft Entra Id ve Azure tarafından kullanılan tüm genel IP adresi aralıklarını içerir ve tüm değişiklikleri yansıtacak şekilde aylık olarak güncelleştirilir. Azure AD'nin hizmet etiketi, AzureActiveDirectory Azure'ın hizmet etiketi ise şeklindedir AzureResourceManager. Güvenlik duvarı kurallarınızı yapılandırmayı öğrenmek için ağ yöneticinize ve ağ güvenlik duvarı satıcınıza başvurun.

Ağ trafiği akışları hakkında daha fazla bilgi edinmek için bu makalenin Nasıl çalıştığı bölümündeki diyagrama bakın.

Özel Bağlantı Kapsamı Oluşturma

1. Azure Portal’ında oturum açın.

2. Azure portalında Kaynak oluştur'a gidin ve Azure Arc Özel Bağlantı Kapsamı'nı arayın, ardından Oluştur'u seçin.

   

   Alternatif olarak, doğrudan portaldaki Azure Arc Özel Bağlantı Kapsamları sayfasına gidin ve Azure Arc Özel bağlantı kapsamı oluştur'u seçin.

3. Temel Bilgiler sekmesinde bir abonelik ve kaynak grubu seçin.

4. Azure Arc Özel Bağlantı Kapsamı için bir ad girin. Anlamlı ve net bir ad kullanmak en iyisidir.

5. İsteğe bağlı olarak, özel uç nokta üzerinden hizmete veri göndermek için bu Azure Arc Özel Bağlantı Kapsamı ile ilişkilendirilmiş tüm Azure Arc özellikli makineleri veya sunucuları zorunlu kılabilirsiniz. Bunu yapmak için, Bu Azure Arc Özel Bağlantı Kapsamı ile ilişkili makinelerin veya sunucuların hem özel hem de genel ağlar üzerinden hizmetle iletişim kurabilmesi için Genel ağ erişimine izin ver kutusunu işaretleyin. Gerektiğinde kapsamı oluşturduktan sonra bu ayarı değiştirebilirsiniz.

6. Özel uç nokta sekmesini ve ardından Oluştur'u seçin.

7. Özel uç nokta oluştur bölmesinde:

   1. Uç nokta için bir Ad girin.

   2. Özel DNS bölgesiyle tümleştirme için Evet'i seçin ve otomatik olarak yeni bir Özel DNS Bölgesi oluşturmasına izin verin.

      Not

      Hayır'ı seçerseniz ve DNS kayıtlarını el ile yönetmeyi tercih ediyorsanız, önce bu özel uç nokta ve özel kapsam yapılandırması dahil olmak üzere Özel Bağlantı ayarlamayı tamamlayın. Ardından DNS'yi Azure Özel Uç Nokta DNS yapılandırması makalesinde yer alan yönergelere göre yapılandırın. Özel Bağlantı kurulumunuza hazırlık yaparken boş kayıtlar oluşturmadığınızdan emin olun. Oluşturduğunuz DNS kayıtları mevcut ayarları geçersiz kılabilir ve Azure Arc özellikli sunucularla bağlantınızı etkileyebilir.

      Aynı sanal ağ/DNS bölgesi hem özel bağlantı kullanan Arc kaynakları hem de özel bağlantı kullanmayan kaynaklar için kullanılamaz. Özel bağlantıya bağlı olmayan arc kaynaklarının genel uç noktalara çözümlenmesi gerekir.

   3. Tamam'ı seçin.

8. Gözden geçir + Oluştur’u seçin.

   

9. Doğrulamanın geçmesine izin verin ve oluştur'u seçin.

Şirket içi DNS iletmeyi yapılandırma

Şirket içi makinelerinizin veya sunucularınızın özel uç nokta IP adreslerine özel bağlantı DNS kayıtlarını çözümleyebilmesi gerekir. Bunu nasıl yapılandırdığınız, DNS kayıtlarını korumak için Azure özel DNS bölgelerini kullanıp kullanmadığınıza veya şirket içinde kendi DNS sunucunuzu kullanıp kullanmadığınıza ve yapılandırdığınız sunucu sayısına bağlıdır.

Azure ile tümleşik özel DNS bölgelerini kullanarak DNS yapılandırması

Özel uç noktayı oluştururken Azure Arc özellikli sunucular ve Konuk Yapılandırması için özel DNS bölgeleri ayarlarsanız, şirket içi makinelerinizin veya sunucularınızın özel uç nokta adreslerini doğru çözümlemek için DNS sorgularını yerleşik Azure DNS sunucularına iletebilmesi gerekir. Azure'da özel uç nokta IP adreslerini çözümlemek için sorguları Azure'a iletmek üzere şirket içi DNS sunucunuzu yapılandırabileceğiniz bir DNS ileticisi (amaca yönelik bir VM veya DNS proxy'si etkinleştirilmiş bir Azure Güvenlik Duvarı örneği) gerekir.

Daha fazla bilgi için bkz . Şirket içi DNS ileticisi ile Azure Özel Çözümleyicisi.

El ile DNS sunucusu yapılandırması

Özel uç nokta oluşturma sırasında Azure özel DNS bölgelerini kullanmayı kabul etmediyseniz, şirket içi DNS sunucunuzda gerekli DNS kayıtlarını oluşturmanız gerekir.

1. Azure portalında sanal ağınızla ve özel bağlantı kapsamınızla ilişkili özel uç nokta kaynağına gidin.

2. Dns sunucunuzda ayarlamanız gereken DNS kayıtlarının ve ilgili IP adreslerinin listesini görmek için hizmet menüsünde, Ayarlar'ın altında DNS yapılandırması'nı seçin. FQDN'ler ve IP adresleri, özel uç noktanız için seçtiğiniz bölgeye ve alt ağınızdaki kullanılabilir IP adreslerine göre değişir.

3. Portaldaki tabloyla eşleşmesi için gerekli DNS bölgelerini ve A kayıtlarını eklemek için DNS sunucusu satıcınızın yönergelerini izleyin. Ağınız için uygun kapsamı belirlenmiş bir DNS sunucusu seçtiğinizden emin olun. Bu DNS sunucusunu kullanan her makine veya sunucu artık özel uç nokta IP adreslerini çözümler ve Azure Arc Özel Bağlantı Kapsamı ile ilişkilendirilmelidir, aksi takdirde bağlantı reddedilecektir.

Tek sunuculu senaryolar

Yalnızca birkaç makineyi veya sunucuyu desteklemek için Özel Bağlantı kullanmayı planlıyorsanız ağınızın DNS yapılandırmasını güncelleştirmek istemeyebilirsiniz. Bu durumda, işletim sistemleri Konakları dosyanıza özel uç nokta konak adlarını ve IP adreslerini ekleyebilirsiniz. İşletim sistemi yapılandırmasına bağlı olarak, Hosts dosyası ana bilgisayar adını IP adresine çözümlemek için birincil veya alternatif yöntem olabilir.

Windows

1. Yönetici ayrıcalıklarına sahip bir hesap kullanarak dosyasını açın C:\Windows\System32\drivers\etc\hosts.

2. El ile DNS sunucusu yapılandırması bölümünde açıklandığı gibi DNS yapılandırma listesinden özel uç nokta IP'lerini ve ana bilgisayar adlarını ekleyin. Hosts dosyası önce IP adresini, ardından bir boşluk ve ardından konak adını gerektirir.

3. Değişikliklerinizle birlikte dosyayı kaydedin. Önce başka bir dizine kaydetmeniz, ardından dosyayı özgün yola kopyalamanız gerekebilir.

Linux

1. /etc/hosts Hosts dosyasını bir metin düzenleyicisinde açın.

2. El ile DNS sunucusu yapılandırması bölümünde açıklandığı gibi DNS yapılandırma listesinden özel uç nokta IP'lerini ve ana bilgisayar adlarını ekleyin. Hosts dosyası önce IP adresini, ardından bir boşluk ve ardından ana bilgisayar adını ister.

3. Değişikliklerinizle birlikte dosyayı kaydedin.

Azure Arc özellikli bir sunucuya bağlanma

Özel bağlantı kullanmak için yeni bir Azure Arc özellikli sunucu yapılandırma

Azure Arc özellikli sunucularla bir makineyi veya sunucuyu ilk kez bağlarken isteğe bağlı olarak bir Özel Bağlantı Kapsamına bağlayabilirsiniz.

1. Tarayıcınızdan Azure portal’a gidin.

2. Makineler - Azure Arc'a gidin.

3. Makineler - Azure Arc sayfasında, sol üst köşeden Ekle/Oluştur'u ve ardından açılan menüden Makine ekle'yi seçin.

4. Azure Arc ile sunucu ekle sayfasında, Dağıtım senaryonuza bağlı olarak Tek sunucu ekle veya Birden çok sunucu ekle'yi seçin ve ardından Betik oluştur'a tıklayın.

5. Temel Bilgiler sayfasında aşağıdakileri sağlayın:

   1. Makine için Abonelik ve Kaynak grubunu seçin.

   2. Bölge açılan listesinde, makine veya sunucu meta verilerini depolamak için Azure bölgesini seçin.

   3. İşletim sistemi açılan listesinde, betiğin çalışmak üzere yapılandırıldığı işletim sistemini seçin.

   4. Bağlantı yöntemi'nin altında Özel uç nokta'yı seçin ve açılan listeden Bölüm 1'de oluşturulan Azure Arc Özel Bağlantı Kapsamı'nı seçin.

      

   5. İleri: Etiketler'i seçin.

6. Birden çok sunucu ekle'yi seçtiyseniz, Kimlik Doğrulaması sayfasında açılan listeden Azure Arc özellikli sunucular için oluşturulan hizmet sorumlusunu seçin. Azure Arc özellikli sunucular için hizmet sorumlusu oluşturmadıysanız, bir hizmet sorumlusu oluşturmak için gereken izinler ve adımlar hakkında bilgi edinmek için hizmet sorumlusu oluşturmayı gözden geçirin. Devam etmek için İleri: Etiketler'i seçin.

7. Etiketler sayfasında, önerilen varsayılan Fiziksel konum etiketlerini gözden geçirin ve bir değer girin veya standartlarınızı desteklemek için bir veya daha fazla Özel etiket belirtin.

8. İleri: Betiği indir ve çalıştır'ı seçin.

9. Betiği indir ve çalıştır sayfasında özet bilgilerini gözden geçirin ve İndir'i seçin.

Betiği indirdikten sonra, ayrıcalıklı (yönetici veya kök) bir hesap kullanarak makinenizde veya sunucunuzda çalıştırmanız gerekir. Ağ yapılandırmanıza bağlı olarak, aracıyı İnternet erişimi olan bir bilgisayardan indirip makinenize veya sunucunuza aktarmanız ve ardından betiği aracının yolu ile değiştirmeniz gerekebilir.

Windows aracısı'ndan https://aka.ms/AzureConnectedMachineAgent indirilebilir ve Linux aracısı'ndan https://packages.microsoft.comindirilebilir. İşletim sistemi dağıtım dizininizin altında azcmagent'ın en son sürümünü bulun ve yerel paket yöneticinizle birlikte yükleyin.

Betik, ekleme tamamlandıktan sonra başarılı olup olmadığını bildiren durum iletileri döndürür.

Mevcut Azure Arc özellikli sunucuyu yapılandırma

Özel bağlantı kapsamınızdan önce ayarlanan Azure Arc özellikli sunucular için aşağıdaki adımları tamamlayarak Azure Arc özellikli sunucuları Özel Bağlantı Kapsam'ı kullanmaya başlamalarına izin verebilirsiniz.

1. Azure portalında Azure Arc Özel Bağlantı Kapsamı kaynağınıza gidin.

2. Hizmet menüsündeki Yapılandır'ın altında Azure Arc kaynakları'nı ve ardından + Ekle'yi seçin.

3. listeden Özel Bağlantı Kapsamı ile ilişkilendirmek istediğiniz sunucuları seçin ve sonra da değişikliklerinizi kaydetmek için Seç'i seçin.

   

Özel Bağlantı Kapsamının yakın zamanda ilişkili sunuculardan gelen bağlantıları kabul etmek 15 dakika kadar sürebilir.

Sorun giderme

Sorunlarla karşılaşırsanız aşağıdaki öneriler yardımcı olabilir:

• Şirket içi DNS sunucunuzu denetleerek Azure DNS'ye iletildiğini veya özel bağlantı bölgenizde uygun A kayıtlarıyla yapılandırıldığını doğrulayın. Bu arama komutları, Azure sanal ağınızda özel IP adresleri döndürmelidir. Genel IP adreslerini çözümlerse makinenizi veya sunucunuzu ve ağınızın DNS yapılandırmasını bir kez daha denetleyin.

  nslookup gbl.his.arc.azure.com
  nslookup agentserviceapi.guestconfiguration.azure.com
  

• Makine veya sunucu ekleme sorunları için yerel ağ güvenlik duvarınıza Microsoft Entra Id ve Azure Resource Manager hizmet etiketlerini eklediğinizi onaylayın. Bu hizmetler için özel uç noktalar kullanılabilir olana kadar aracının bu hizmetlerle İnternet üzerinden iletişim kurması gerekir.

Daha fazla sorun giderme yardımı için bkz . Azure Özel Uç Nokta bağlantı sorunlarını giderme.

Sonraki adımlar

• Özel Uç Nokta, Azure Özel Uç Noktası nedir? hakkında daha fazla bilgi edinin.
• Azure Otomasyonu, Azure İzleyici, Azure Key Vault veya Azure Blob depolama için Özel Bağlantı yapılandırmayı öğrenin.