Il-VPN tiegħek ma jagħmilx Cosmos DB privat waħdu
VPN iġib il-laptop tiegħek fuq in-netwerk, mhux ġewwa d-database. Ara x'għandhom jagħmlu l-endpoint privat, iż-żona DNS, il-modalità tal-konnessjoni u l-aċċess għall-kont.
Tgħaqqad il-laptop mal-VNet permezz ta' VPN, tiftaħ l-URL tal-kont Cosmos DB, u t-talba xorta toħroġ mill-internet pubbliku. Il-mina għamlet xogħolha. Li ma għamlitx kien li toħloq endpoint privat, tippubblika r-rekord DNS privat jew tintefa l-aċċess pubbliku, għax dawk huma tliet bidliet separati fuq il-kont, mhux proprjetajiet tal-konnessjoni tan-netwerk tiegħek. Dan l-eżempju juża Azure Cosmos DB għal NoSQL, endpoint privat f'VNet u laptop konness ma' dak il-VNet permezz ta' VPN, u jżomm l-indirizz tal-applikazzjoni bla bidla.
Il-mit: li tkun fuq il-VPN jagħmel id-database privata
Li tkun fuq il-VNet ifisser biss li l-pakketti tiegħek jistgħu jilħqu indirizzi privati f'dak il-VNet. Ma jgħid xejn dwar fejn jiġi riżolt l-isem tal-kont, u ma jgħid xejn dwar jekk il-kont għadux jaċċetta traffiku pubbliku.
Endpoint privat huwa riżors separat bl-indirizz tiegħu, bil-pass ta' approvazzjoni tiegħu u bil-wiring DNS tiegħu. Sakemm ma jeżistix u jiġi approvat, l-isem jiġi riżolt għall-endpoint pubbliku u t-traffiku tiegħek imur hemm irrispettivament mill-mina.
X'inhuma fil-fatt jagħmlu l-isem jiġi riżolt b'mod privat
Żomm l-endpoint normali tal-kont tas-SDK, xi ħaġa bħal https://ACCOUNT.documents.azure.com. Id-DNS privat għandu jirriżolvi dak l-isem permezz tal-katina Private Link għall-indirizzi privati tal-endpoint. Tissostitwixxihx b'URL numeriku u tiddiżattivax il-verifiki taċ-ċertifikat, għax dan ibiddel problema DNS ma' problema ta' sigurtà.
| Example choice | Value |
|---|---|
| Cosmos API | NoSQL |
| Private endpoint subresource | Sql |
| Private DNS zone | privatelink.documents.azure.com |
| SDK connection mode | Gateway |
Dawk il-valuri huma speċifiċi għall-API NoSQL. L-API Cosmos oħra mhumiex entrati interkambjabbli fl-istess eżempju, u l-kopja tal-isem tas-subresource minn API differenti tipproduċi endpoint li qatt ma jiġi riżolt.
Oħloq u approva l-endpoint permezz tal-fluss tax-xogħol awtorizzat ta' Azure, imbagħad uża l-integrazzjoni tal-grupp taż-żona DNS privata tiegħu. Il-laptop jeħtieġ resolver li jista' jwieġeb għal dik iż-żona, jew direttament jew permezz ta' forwarding approvat, u rotta tal-klijent VPN għal kull indirizz tal-endpoint rilevanti.
Endpoint privat jista' jkollu aktar minn indirizz wieħed, inkluż entrati globali u reġjonali. Żomm l-integrazzjoni DNS meta r-reġjuni tal-kont jinbidlu minflok ma tiffissa indirizz wieħed f'file hosts, u ftakar li tweġiba minn resolver pubbliku mhux relatat ma tipprova xejn dwar il-passaġġ privat. Jekk tibgħat id-DNS permezz ta' hub, ikkonferma li l-forwarder iwieġeb qabel ma tiddebbaggja l-klijent. Forwarder antik irodd it-tweġiba pubblika, li tidher eżattament bħal endpoint nieqes.
Il-modalità Gateway u l-modalità Direct mhumiex interkambjabbli
Il-modalità Gateway tibgħat it-talbiet tas-servizz permezz ta' HTTPS fuq TCP 443. Huwa għalhekk li politika tal-firewall għall-443 biss taħdem magħha u huwa għalhekk li dan l-eżempju jagħżilha b'mod deliberat.
Il-modalità Direct fuq Private Link għandha rekwiżiti ta' konnettività differenti, inkluż firxa tal-portijiet TCP aktar wiesgħa li d-dokumentazzjoni tal-kont telenka. Politika miktuba għall-modalità Gateway m'għandhiex tiġi użata mill-ġdid bil-moħbi għal klijent fil-modalità Direct, inkella s-SDK jikkonnettja u mbagħad jiddendel fl-ewwel operazzjoni tad-data.
Agħżel modalità waħda, iktebha mal-kont, u għamel il-politika tan-netwerk taqbel magħha. It-timijiet li jbiddlu l-modalità waqt l-istħarriġ tal-problemi normalment jispiċċaw b'sett ta' regoli tal-firewall li ma jissodisfa lil ħadd miż-żewġ.
Li tintefa l-aċċess pubbliku huwa swiċċ separat
Jekk il-kont għandu jkun privat biss, iddiżattiva l-aċċess għan-netwerk pubbliku permezz tas-setting appoġġjat tal-kont u vverifika r-riżultat. Tqisx l-eżistenza ta' endpoint privat bħala d-deċiżjoni sħiħa tal-aċċess, għax kont b'endpoint privat u aċċess pubbliku attivat xorta jwieġeb fuq l-internet.
Ivverifika minn barra l-VPN kif ukoll minn ġewwa. Talba minn netwerk li għandu jiġi eskluż hija t-test li jipprova li s-setting daħlet fis-seħħ, u huwa t-test li l-biċċa l-kbira tat-twieqi tal-bidla jaqbżu.
Ir-reachability mhix permess
Operazzjoni SDK permessa mil-laptop tal-VPN hija t-test ta' aċċettazzjoni, bl-URL normali tal-kont u bl-identità maħsuba. Ir-reachability tal-VPN ma tagħtix permessi tad-data ta' Cosmos; il-pjan tad-data jivverifika r-rwoli jew iċ-ċwievet tiegħu stess.
Imbagħad ħaddem iċ-ċaħdiet: identità differenti, u passaġġ tan-netwerk li m'għandux jibqa' jilħaq il-kont. Jekk wieħed minnhom jirnexxi, il-konfini li ddokumentajt mhuwiex il-konfini li bnejt.
Ikteb erba' fatti meta tispiċċa: l-indirizzi privati tal-endpoint, iż-żona DNS li twieġeb għall-isem tal-kont, il-modalità tal-konnessjoni mar-rekwiżiti tal-portijiet tagħha, u jekk l-aċċess pubbliku huwiex diżattivat. Dawn l-erbgħa jispjegaw is-setup lill-persuna li jmiss, u kull waħda minnhom tfalli b'mod indipendenti.