Azure HDInsight的 NSG 服务标记

Azure HDInsight 的网络安全组（NSG）服务标记是用于健康和管理服务的 IP 地址组。 这些组有助于尽量降低创建安全规则时的复杂性。 服务标记 允许来自特定 IP 的入站流量，而无需在 NSG 中输入每个 管理 IP 地址 。

HDInsight 服务管理这些服务标记。 无法创建自己的服务标记或修改现有标记。 Azure管理与服务标记匹配的地址前缀，并在地址更改时自动更新服务标记。

如果想要使用特定区域，但此页上尚未记录服务标记，可以使用 服务标记发现 API 查找服务标记。 还可以下载 服务标记 JSON 文件 并搜索所需区域。

开始使用服务标记

有两个选项可用于在网络安全组中使用服务标记：

• 使用单个全局 HDInsight 服务标记：此选项允许虚拟网络访问 HDInsight 服务用于在所有区域监控群集的所有 IP 地址。 此选项是最简单的方法，但如果你具有严格的安全要求，则可能不适用。

• 使用多个区域服务标记：此选项仅将虚拟网络打开到 HDInsight 在该特定区域中使用的 IP 地址。 但是，如果使用多个区域，则需要将多个服务标记添加到虚拟网络。

使用单个全局 HDInsight 服务标签

在 HDInsight 群集中使用服务标记的最简单方法是将全局标记 HDInsight 添加到 NSG 规则。

1. 在 Azure 门户中，选择网络安全组。

2. 在 “设置”下，选择 “入站安全规则”，然后选择“ + 添加”。

3. 从 “源 ”下拉列表中，选择 “服务标记”。

4. 从 “源服务标记 ”下拉列表中，选择 “HDInsight”。

   

这个标签包含了 HDInsight 可用的所有区域中的运行状况和管理服务的 IP 地址。 无论群集在何处创建，该标记都将确保群集能够与必要的运行状况和管理服务通信。

使用地区性 HDInsight 服务标签

如果全局标记选项不起作用，因为需要更严格的权限，则只能允许适用于你的区域的服务标记。 可能会有多个服务标记，具体取决于创建群集的区域。

若要了解要为区域添加的服务标记，请阅读本文的以下部分。

使用单个区域服务标记

如果群集位于此表中列出的区域，则只需将单个区域服务标记添加到 NSG。

使用多个区域服务标记

如果上表中未列出创建群集的区域，则需要允许多个区域服务标记。 需要使用多个资源是因为不同区域的资源提供程序的排列方式存在差异。

其余区域根据它们使用的区域服务标记划分为组。

组 1

中国北部和中国东部区域的群集需要允许两个服务标记：HDInsight.ChinaNorth以及HDInsight.ChinaEast。

后续步骤

• 网络安全组：服务标记
• 为Azure HDInsight群集创建虚拟网络