Private Endpoints in Azure

Ein privater Endpunkt in Azure ist eine Netzwerkschnittstelle, die dich privat und sicher mit einem von Azure Private Link betriebenen Dienst verbindet. Der private Endpunkt verwendet eine private IP-Adresse in Ihrem VNet und bindet den Dienst effektiv in Ihr VNet ein. Dabei kann es sich um einen Azure-Dienst wie z. B. Azure Storage, Azure Cosmos DB, SQL usw. oder Ihren eigenen Private Link-Dienst handeln.  

Wenn man auf Azure einen PaaS Service bereitstellt, wird dieser automatisch mit einem public DNS Namen und auch mit einer public IP versehen, welche generell für alle zugänglich im Internet erreichbar ist. 

Mit Private Endpoints erhältst du die PaaS Services zusätzlich zur externen IP auch eine interne IP im VNet. Somit kann mit zusätzlichen Firewall Rules vermieden werden, dass der PaaS Dienst im Internet erreichbar ist. Der Dienst ist somit nur noch übers interne, selbst verwaltete VNET erreichbar, was zur Steigerung der Sicherheit dient, indem die Angriffsfläche deutlich reduziert wird. 

Für folgende Azure PaaS Services können aktuell Private Endpoints verwendet werden: 

• Private Link-Dienst (Ihr eigener Dienst)
• Azure Automation
• Azure SQL-Datenbank
• Azure Synapse Analytics
• Azure Storage
• Azure Data Lake Storage Gen2
• Azure Cosmos DB
• Azure Database for PostgreSQL
• Azure Database for MySQL
• Azure Database for MariaDB
• Azure IoT Hub
• Azure Key Vault
• Azure Kubernetes Service
• Azure Search
• Azure Container Registry
• Azure App Configuration
• Azure Backup
• Azure Event Hub
• Azure Service Bus
• Azure Relay
• Azure Event Grid
• Azure App Service
• Azure Machine Learning
• SignalR
• Azure Monitor
• Cognitive Services
• Azure File Sync

Service Endpoints stellen, auch wie Private Endpoints die Möglichkeit zur Verfügung, dass der Zugriff auf PaaS Ressourcen nur von bestimmten VNETs aus geschehen darf. Der Unterschied ist jedoch, dass die PaaS Services die Endpoints nicht innerhalb eines VNET haben, bei Private Endpoints erhältst du jedoch eine IP innerhalb des VNets.

Damit die bestehende PaaS Resource in ein virtuelles Netzwerk in Azure eingebunden werden kann, muss ein VNet und ein Subnet existieren. Falls noch keines besteht, muss dies erstellt werden. 

Nun kann der private Endpoint konfiguriert werden, dies ist gleich in der PaaS Resource unter Netzwerk zu finden. 

Beim Erstellen eines neuen PaaS Dienstes kann man den private Endpoint gleich im Wizard mit erstellen. 

Mit der Konfiguration des Private Endpoints hat nun die PaaS Resource im VNet bzw. im Subnetz eine private IP-Adresse erhalten. Damit der Dienst jedoch über den Namen erreichbar ist, muss der DNS entsprechend konfiguriert werden. Dazu gibt es 2 Standardmöglichkeiten, bei komplexeren DNS-Konfigurationen, muss eine individuelle Lösung erstellt werden. 

Dies ist die Standardoption. Somit wird beim deployen des Private Endpoint gleich eine private DNS-Zone in Azure erstellt und diese mit dem ausgewählten VNet verlinkt. So können alle Hosts innerhalb dieses VNets den Namen über diese DNS-Zone auflösen. 

Wenn ein DNS-Server im VNET konfiguriert wurde, kann auf diesem ein DNS forwarder nach Azure mit der IP: 168.63.129.16 eingetragen werden. Somit werden alle Anfragen, welche der DNS-Server nicht selbst beantworten kann, dem Azure DNS-Server weitergeleitet. 

Setup Design 

Abschalten von Internet Access (Firewall Konfiguration) 

Damit der Zugriff auf die PaaS Resource auch wirklich abgeschaltet wird, muss dies auf der Resource selbst noch konfiguriert wird. Dies findet man unter den Firewall Einstellungen.

• Was ist ein private Endpoint: https://docs.microsoft.com/en-us/azure/private-link/private-link-overview
• Private Endpoint erstellen: https://docs.microsoft.com/de-de/azure/private-link/create-private-endpoint-portal 
• Virtuelles Netzwerk erstellen: https://docs.microsoft.com/de-de/azure/virtual-network/quick-create-portal
• DNS im VNet konfigurieren: https://docs.microsoft.com/de-de/azure/virtual-network/virtual-networks-name-resolution-for-vms-and-role-instances
• DNS für private Endpoints konfigurieren: https://docs.microsoft.com/en-us/azure/private-link/private-endpoint-dns