Özel uç noktalar aracılığıyla Azure Event Hubs ad alanlarına erişime izin verme

Azure Özel Bağlantı Hizmeti, sanal ağınızdaki özel bir uç nokta üzerinden Azure Hizmetleri'ne (örneğin Azure Event Hubs, Azure Depolama ve Azure Cosmos DB) ve Azure tarafından barındırılan müşteri/iş ortağı hizmetlerine erişmenizi sağlar.

Bir özel uç nokta, sizi Azure Özel Bağlantı ile desteklenen bir hizmete özel olarak ve güvenle bağlayan bir ağ arabirimidir. Özel uç nokta, sanal ağınızdan bir özel IP adresi kullanarak hizmeti etkili bir şekilde sanal ağınıza getirir. Hizmete giden tüm trafik özel uç nokta üzerinden yönlendirildiğinden ağ geçidi, NAT cihazı, ExpressRoute veya VPN bağlantısı ya da genel IP adresi gerekmez. Sanal ağınız ve hizmet arasındaki trafik, Microsoft omurga ağı üzerinden geçer ve genel İnternet’ten etkilenme olasılığı ortadan kaldırılır. Bir Azure kaynağının örneğine bağlanarak erişim denetiminde en yüksek ayrıntı düzeyini sağlayabilirsiniz.

Daha fazla bilgi için bkz. Azure Özel Bağlantı nedir?

Önemli noktalar

• Bu özellik temel katmanda desteklenmez.
• Özel uç noktaların etkinleştirilmesi, diğer Azure hizmetlerinin Event Hubs ile etkileşim kurmasını engelleyebilir. Engellenen istekler arasında diğer Azure hizmetlerinden, Azure portalından, günlüğe kaydetme ve ölçüm hizmetlerinden vb. gelen istekler bulunur. Özel durum olarak, özel uç noktalar etkinleştirildiğinde bile belirli güvenilen hizmetlerden Event Hubs kaynaklarına erişime izin vekleyebilirsiniz. Güvenilen hizmetlerin listesi için bkz . Güvenilen hizmetler.
• Ad alanı için yalnızca belirtilen IP adreslerinden veya bir sanal ağın alt ağından gelen trafiğe izin vermek için en az bir IP kuralı veya sanal ağ kuralı belirtin. IP ve sanal ağ kuralı yoksa, ad alanına genel İnternet üzerinden (erişim anahtarı kullanılarak) erişilebilir.

Azure portalını kullanarak özel uç nokta ekleme

Önkoşullar

Event Hubs ad alanını Azure Özel Bağlantı ile tümleştirmek için aşağıdaki varlıklara veya izinlere ihtiyacınız vardır:

• Event Hubs ad alanı.
• Bir Azure sanal ağı.
• Sanal ağdaki bir alt ağ. Varsayılan alt ağı kullanabilirsiniz.
• Hem ad alanı hem de sanal ağ için sahip veya katkıda bulunan izinleri.

Özel uç noktanız ve sanal ağınız aynı bölgede olmalıdır. Portalı kullanarak özel uç nokta için bir bölge seçtiğinizde, bu bölgedeki sanal ağlar otomatik olarak filtrelenir. Ad alanınız farklı bir bölgede olabilir.

Özel uç noktanız sanal ağınızda özel bir IP adresi kullanır.

Ad alanı oluştururken özel erişimi yapılandırma

Ad alanı oluştururken, ad alanına yalnızca genel (tüm ağlardan) veya yalnızca özel (yalnızca özel uç noktalar aracılığıyla) erişimine izin vekleyebilirsiniz.

Ad alanı oluşturma sihirbazının Ağ sayfasında Özel erişim seçeneğini belirtirseniz , + Özel uç nokta düğmesini seçerek sayfaya özel bir uç nokta ekleyebilirsiniz. Özel uç nokta eklemeye yönelik ayrıntılı adımlar için sonraki bölüme bakın.

Mevcut bir ad alanı için özel erişimi yapılandırma

Zaten bir Event Hubs ad alanınız varsa, aşağıdaki adımları izleyerek özel bağlantı bağlantısı oluşturabilirsiniz:

1. Azure Portal’ında oturum açın.

2. Arama çubuğuna event hubs yazın.

3. Özel uç nokta eklemek istediğiniz listeden ad alanını seçin.

4. Ad alanına yalnızca özel uç noktalar aracılığıyla erişilmesi için Ağ sayfasında Genel ağ erişimi için Devre Dışı'nı seçin.

5. Güvenilen Microsoft hizmetleri bu güvenlik duvarını atlamasına izin ver için, güvenilen Microsoft hizmetleri bu güvenlik duvarını atlamasına izin vermek istiyorsanız Evet'i seçin.

   

6. Özel uç nokta bağlantıları sekmesine geçin.

7. Sayfanın üst kısmındaki + Özel Uç Nokta düğmesini seçin.

   

8. Temel Bilgiler sayfasında şu adımları izleyin:

   1. Özel uç noktayı oluşturmak istediğiniz Azure aboneliğini seçin.

   2. Özel uç nokta kaynağı için kaynak grubunu seçin.

   3. Özel uç nokta için bir ad girin.

   4. Ağ arabirimi için bir ad girin.

   5. Özel uç nokta için bir bölge seçin. Özel uç noktanız sanal ağınızla aynı bölgede olmalıdır, ancak bağlandığınız özel bağlantı kaynağından farklı bir bölgede olabilir.

   6. Sayfanın alt kısmındaki İleri: Kaynak > düğmesini seçin.

      

9. Kaynak sayfasında ayarları gözden geçirin ve İleri: Sanal Ağ'yi seçin.

   

10. Sanal Ağ sayfasında, özel uç noktayı dağıtmak istediğiniz sanal ağdaki alt ağı seçersiniz.

    1. Bir sanal ağ seçin. Açılan listede yalnızca seçili abonelik ve konumdaki sanal ağlar listelenir.

    2. Seçtiğiniz sanal ağda bir alt ağ seçin.

    3. Özel uç noktalar için ağ ilkesinin devre dışı bırakıldığına dikkat edin. Etkinleştirmek istiyorsanız Düzenle'yi seçin, ayarı güncelleştirin ve Kaydet'i seçin.

    4. Özel IP yapılandırması için, varsayılan olarak IP adresini dinamik olarak ayır seçeneği seçilidir. Statik IP adresi atamak istiyorsanız, Statik OLARAK IP adresi ayır* seçeneğini belirleyin.

    5. Uygulama güvenlik grubu için mevcut bir uygulama güvenlik grubunu seçin veya özel uç noktayla ilişkilendirilecek bir güvenlik grubu oluşturun.

    6. Sayfanın en altındaki İleri: DNS > düğmesi'ni seçin.

       

11. DNS sayfasında, özel uç noktanın bir özel DNS bölgesiyle tümleştirilmesini isteyip istemediğinizi seçin ve ardından İleri: Etiketler'i seçin.

12. Etiketler sayfasında, özel uç nokta kaynağıyla ilişkilendirmek istediğiniz etiketleri (adlar ve değerler) oluşturun. Ardından, sayfanın alt kısmındaki Gözden geçir + oluştur düğmesini seçin.

13. Gözden geçir + oluştur bölümünde tüm ayarları gözden geçirin ve Oluştur'u seçerek özel uç noktayı oluşturun.

    

14. Oluşturduğunuz özel uç nokta bağlantısının uç nokta listesinde gösterildiğini onaylayın. Sayfayı yenileyin ve Özel uç nokta bağlantıları sekmesine geçin. Bu örnekte, dizininizdeki bir Azure kaynağına bağlandığınızdan ve yeterli izinlere sahip olduğunuzdan özel uç nokta otomatik olarak onaylanır.

    

Güvenilen Microsoft hizmetleri

Güvenilen Microsoft hizmetleri bu güvenlik duvarını atlamasına izin ver ayarını etkinleştirdiğinizde, aynı kiracıdaki aşağıdaki hizmetlere Event Hubs kaynaklarınıza erişim verilir.

Azure Event Hubs için diğer güvenilen hizmetler aşağıda bulunabilir:

• Azure Arc
• Azure Kubernetes
• Azure Machine Learning
• Microsoft Purview

Güvenilen hizmetlerin ad alanınıza erişmesine izin vermek için Ağ sayfasındaki Genel Erişim sekmesine geçin ve Güvenilen Microsoft hizmetleri bu güvenlik duvarını atlamasına izin ver? için Evet'i seçin.

PowerShell kullanarak özel uç nokta ekleme

Aşağıdaki örnekte özel uç nokta bağlantısı oluşturmak için Azure PowerShell'in nasıl kullanılacağı gösterilmektedir. Sizin için ayrılmış bir küme oluşturmaz. Ayrılmış bir Event Hubs kümesi oluşturmak için bu makaledeki adımları izleyin.

$rgName = "<RESOURCE GROUP NAME>"
$vnetlocation = "<VIRTUAL NETWORK LOCATION>"
$vnetName = "<VIRTUAL NETWORK NAME>"
$subnetName = "<SUBNET NAME>"
$namespaceLocation = "<NAMESPACE LOCATION>"
$namespaceName = "<NAMESPACE NAME>"
$peConnectionName = "<PRIVATE ENDPOINT CONNECTION NAME>"

# create resource group
New-AzResourceGroup -Name $rgName -Location $vnetLocation 

# create virtual network
$virtualNetwork = New-AzVirtualNetwork `
                    -ResourceGroupName $rgName `
                    -Location $vnetlocation `
                    -Name $vnetName `
                    -AddressPrefix 10.0.0.0/16

# create subnet with endpoint network policy disabled
$subnetConfig = Add-AzVirtualNetworkSubnetConfig `
                    -Name $subnetName `
                    -AddressPrefix 10.0.0.0/24 `
                    -PrivateEndpointNetworkPoliciesFlag "Disabled" `
                    -VirtualNetwork $virtualNetwork

# update virtual network
$virtualNetwork | Set-AzVirtualNetwork

# create an event hubs namespace in a dedicated cluster
$namespaceResource = New-AzResource -Location $namespaceLocation `
                                    -ResourceName $namespaceName `
                                    -ResourceGroupName $rgName `
                                    -Sku @{name = "Standard"; capacity = 1} `
                                    -Properties @{clusterArmId = "/subscriptions/<SUBSCRIPTION ID>/resourceGroups/<RESOURCE GROUP NAME>/providers/Microsoft.EventHub/clusters/<EVENT HUBS CLUSTER NAME>"} `
                                    -ResourceType "Microsoft.EventHub/namespaces" -ApiVersion "2018-01-01-preview"

# create private endpoint connection
$privateEndpointConnection = New-AzPrivateLinkServiceConnection `
                                -Name $peConnectionName `
                                -PrivateLinkServiceId $namespaceResource.ResourceId `
                                -GroupId "namespace"

# get subnet object that you'll use later
$virtualNetwork = Get-AzVirtualNetwork -ResourceGroupName  $rgName -Name $vnetName
$subnet = $virtualNetwork | Select -ExpandProperty subnets `
                                | Where-Object  {$_.Name -eq $subnetName}  
   
# create a private endpoint   
$privateEndpoint = New-AzPrivateEndpoint -ResourceGroupName $rgName  `
                                -Name $vnetName   `
                                -Location $vnetlocation `
                                -Subnet  $subnet   `
                                -PrivateLinkServiceConnection $privateEndpointConnection

(Get-AzResource -ResourceId $namespaceResource.ResourceId -ExpandProperties).Properties

Özel DNS Bölgesini yapılandırma

Event Hubs etki alanı için özel bir DNS bölgesi oluşturun ve sanal ağ ile bir ilişkilendirme bağlantısı oluşturun:

$zone = New-AzPrivateDnsZone -ResourceGroupName $rgName `
                            -Name "privatelink.servicebus.windows.net" 
 
$link  = New-AzPrivateDnsVirtualNetworkLink -ResourceGroupName $rgName `
                                            -ZoneName "privatelink.servicebus.windows.net" `
                                            -Name "mylink" `
                                            -VirtualNetworkId $virtualNetwork.Id  
 
$networkInterface = Get-AzResource -ResourceId $privateEndpoint.NetworkInterfaces[0].Id -ApiVersion "2019-04-01" 
 
foreach ($ipconfig in $networkInterface.properties.ipConfigurations) { 
    foreach ($fqdn in $ipconfig.properties.privateLinkConnectionProperties.fqdns) { 
        Write-Host "$($ipconfig.properties.privateIPAddress) $($fqdn)"  
        $recordName = $fqdn.split('.',2)[0] 
        $dnsZone = $fqdn.split('.',2)[1] 
        New-AzPrivateDnsRecordSet -Name $recordName -RecordType A -ZoneName "privatelink.servicebus.windows.net"  `
                                -ResourceGroupName $rgName -Ttl 600 `
                                -PrivateDnsRecords (New-AzPrivateDnsRecordConfig -IPv4Address $ipconfig.properties.privateIPAddress)  
    } 
}

Azure portalını kullanarak özel uç noktaları yönetme

Özel uç nokta oluşturduğunuzda bağlantının onaylanması gerekir. Özel uç nokta oluşturduğunuz kaynak dizininizdeyse, yeterli izinlere sahip olmanız koşuluyla bağlantı isteğini onaylayabilirsiniz. Başka bir dizindeki bir Azure kaynağına bağlanıyorsanız, bu kaynağın sahibinin bağlantı isteğinizi onaylamasını beklemeniz gerekir.

Dört sağlama durumu vardır:

Özel uç nokta bağlantısını onaylama, reddetme veya kaldırma

1. Azure Portal’ında oturum açın.
2. Arama çubuğuna event hubs yazın.
3. Yönetmek istediğiniz ad alanını seçin.
4. Ağ sekmesini seçin.
5. İstediğiniz işleme göre aşağıdaki uygun bölüme gidin: onaylama, reddetme veya kaldırma.

Özel uç nokta bağlantısını onaylama

1. Bekleyen herhangi bir bağlantı varsa sağlama durumunda Beklemede olarak listelenen bir bağlantı görürsünüz.

2. Onaylamak istediğiniz özel uç noktayı seçin

3. Onayla düğmesini seçin.

   

4. Bağlantıyı onayla sayfasında bir açıklama ekleyin (isteğe bağlı) ve Evet'i seçin. Hayır'ı seçerseniz hiçbir şey olmaz.

5. Listede özel uç nokta bağlantısının durumunun Onaylandı olarak değiştiğini görmeniz gerekir.

Özel uç nokta bağlantısını reddetme

1. Reddetmek istediğiniz herhangi bir özel uç nokta bağlantısı varsa (bekleyen bir istek veya mevcut bağlantı) bağlantıyı seçin ve Reddet düğmesini seçin.

   

2. Bağlantıyı reddet sayfasında bir açıklama girin (isteğe bağlı) ve Evet'i seçin. Hayır'ı seçerseniz hiçbir şey olmaz.

3. Listede özel uç nokta bağlantısının durumunun Reddedildi olarak değiştiğini görmeniz gerekir.

Özel uç nokta bağlantısını kaldırma

1. Özel uç nokta bağlantısını kaldırmak için listeden seçin ve araç çubuğunda Kaldır'ı seçin.
2. Bağlantıyı sil sayfasında, özel uç noktanın silinmesini onaylamak için Evet'i seçin. Hayır'ı seçerseniz hiçbir şey olmaz.
3. Durumun Bağlantısı Kesildi olarak değiştirildiğini görmeniz gerekir. Ardından uç nokta listeden kaybolur.

Özel bağlantı bağlantısının çalıştığını doğrulayın

Özel uç noktanın sanal ağındaki kaynakların özel bir IP adresi üzerinden Event Hubs ad alanınıza bağlandığını ve doğru özel DNS bölgesi tümleştirmesine sahip olduklarını doğrulamanız gerekir.

İlk olarak, Azure portalında Windows sanal makinesi oluşturma adımlarını izleyerek bir sanal makine oluşturun

Ağ sekmesinde:

1. Sanal ağ ve Alt ağ belirtin. Özel uç noktayı dağıtılan Sanal Ağ seçmeniz gerekir.
2. Bir genel IP kaynağı belirtin.
3. NIC ağ güvenlik grubu için Yok'a tıklayın.
4. Yük dengeleme için Hayır'ı seçin.

VM'ye bağlanın, komut satırını açın ve aşağıdaki komutu çalıştırın:

nslookup <event-hubs-namespace-name>.servicebus.windows.net

Aşağıdakine benzer bir sonuç görmeniz gerekir.

Non-authoritative answer:
Name:    <event-hubs-namespace-name>.privatelink.servicebus.windows.net
Address:  10.0.0.4 (private IP address associated with the private endpoint)
Aliases:  <event-hubs-namespace-name>.servicebus.windows.net

Sınırlamalar ve tasarımla ilgili dikkat edilmesi gerekenler

• Fiyatlandırma bilgileri için bkz. fiyatlandırma Azure Özel Bağlantı.
• Bu özellik tüm Azure genel bölgelerinde kullanılabilir.
• Event Hubs ad alanı başına en fazla özel uç nokta sayısı: 120.
• Trafik, TCP katmanında değil uygulama katmanında engellenir. Bu nedenle, genel erişim devre dışı bırakılıyor olsa bile TCP bağlantılarının veya nslookup işlemlerinin genel uç noktada başarılı olduğunu görürsünüz.

Daha fazla bilgi için bkz. Azure Özel Bağlantı hizmeti: Sınırlamalar

İlgili içerik

• Azure Özel Bağlantı hakkında daha fazla bilgi edinin
• Azure Event Hubs hakkında daha fazla bilgi edinin