虚拟网络服务标记

服务标记代表给定 Azure 服务中的一组 IP 地址前缀。 Azure 会管理服务标记包含的地址前缀，并会在地址发生更改时自动更新服务标记，最大限度地降低频繁更新网络安全规则的复杂性。

可以在网络安全组、Azure 防火墙和用户定义的路由中使用服务标记来定义网络访问控制。 创建安全规则和路由时，请使用服务标记代替特定 IP 地址。 在安全规则的相应源或目标字段中指定服务标记名称（例如 ApiManagement），可以允许或拒绝相应服务的流量。 通过在路由的地址前缀中指定服务标记名称，可以将用于服务标记封装的任何前缀的流量路由到所需的下一个跃点类型。

可使用服务标记来实现网络隔离，保护 Azure 资源免受常规 Internet 侵害，同时访问具有公共终结点的 Azure 服务。 可创建入站/出站网络安全组规则，以拒绝进出 Internet 的流量并允许进出 AzureCloud 或特定 Azure 服务的其他可用服务标记的流量 。

可用服务标记

下表列出了可在网络安全组规则中使用的所有服务标记。

列指示标记是否：

• 适用于涵盖入站或出站流量的规则。
• 支持区域范围。
• 可在 Azure 防火墙规则中用作目标规则，仅用于入站或出站流量。

默认情况下，服务标记反映了整个云的范围。 某些服务标记还可以通过将相应 IP 范围限制为指定的区域，来实现更精细的控制。 例如，服务标记 Storage 代表整个云的 Azure 存储，而 Storage.ChinaNorth 将范围局限于 ChinaNorth 区域中的存储 IP 地址范围 。 下表显示了每个服务标签是否支持这样的区域范围，每个标签列出的方向是一个建议。 例如，AzureCloud 标记可用于允许入站流量。 在大多数情况下，不建议允许来自所有 Azure IP 的流量，因为其他 Azure 客户的 IP 包含在服务标记中。

经典部署模型中支持的标记

经典部署模型（Azure 资源管理器推出之前）支持上表中列出的一小部分标记。 经典部署模型中的标记采用不同的拼写方式，如下表中所示：

用户定义的路由 (UDR) 不支持标记

下面是当前不支持与用户定义的路由 (UDR) 一起使用的标记列表。

• AzurePlatformDNS

• AzurePlatformIMDS

• AzurePlatformLKM

• VirtualNetwork

• AzureLoadBalancer

• Internet

本地服务标记

可获取服务标记和范围的当前信息，将其包含在本地防火墙配置中。 此信息是对应于每个服务标记的 IP 范围的最新列表（截止目前）。 可以通过编程方式或通过 JSON 文件下载获取信息，如以下各节所述。

使用服务标记发现 API

可以编程方式检索最新的服务标记列表和 IP 地址范围详细信息：

• REST

• Azure PowerShell

• Azure CLI

例如，若要检索存储服务标记的所有前缀，可使用以下 PowerShell cmdlet：

$serviceTags = Get-AzNetworkServiceTag -Location chinaeast2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

使用可下载的 JSON 文件发现服务标记

可以下载包含最新服务标记列表和 IP 地址范围详细信息的 JSON 文件。 这些列表每周更新和发布。 每个云的位置如下：

• 由世纪互联运营的 Azure

这些文件中的 IP 地址范围采用 CIDR 表示法。

后续步骤

• 了解如何创建网络安全组。