虚拟网络安全的Azure服务标记概述

服务标记表示给定Azure服务中的一组 IP 地址前缀。 Azure管理服务标记包含的地址前缀，并在地址发生更改时自动更新服务标记，最大程度地降低网络安全规则频繁更新的复杂性。

服务标记通过以下方式简化Azure中的网络安全配置：

• 无需手动跟踪和更新Azure服务的 IP 地址
• Azure服务 IP 范围更改时提供自动更新
• 降低安全规则管理的复杂性
• 启用对Azure服务传入和传出网络流量的精细控制

可以使用服务标记在 网络安全组、Azure Firewall 和用户定义路由上定义网络访问控制。 创建安全规则和路由时，请使用服务标记代替特定 IP 地址。

服务标记的工作原理

在安全规则的相应源或目标字段中指定服务标记名称（例如 ApiManagement），可以允许或拒绝相应服务的流量。 服务标记自动包括该服务使用的所有当前和将来的 IP 地址范围。

可以将用于服务标记封装的任何前缀的流量路由到所需的下一个跃点类型。 在路由的地址前缀中指定服务标记名称。

常见用例

服务标记可帮助你：

• Achieve 网络隔离：在访问具有公共终结点的 Azure 服务的同时，保护 Azure 资源免受普通 Internet 的威胁。
• 简化安全规则：创建规则而不管理单个 IP 地址
• 确保自动更新：在不手动干预的情况下随时了解Azure服务 IP 范围

例如，可以创建以下入站/出站网络安全组规则：

• 拒绝传入/传出 Internet 的流量
• 允许特定Azure服务的流量传入/传出AzureCloud或其他可用的服务标记

可用服务标记

下表列出了可在网络安全组规则中使用的所有服务标记。

这些列指示标签是否：

• 适用于涵盖入站或出站流量的规则。
• 支持 区域范围。
• 只能在 Azure Firewall 规则中用作仅限于入站或出站流量的目标 规则。

默认情况下，服务标记反映了整个云的范围。 某些服务标记还可以通过将相应 IP 范围限制为指定的区域，来实现更精细的控制。 例如，服务标记Storage表示 Azure 整个云的存储，但Storage.ChinaNorth将范围缩小为仅限于 ChinaNorth 区域的存储 IP 地址范围。 下表显示了每个服务标签是否支持这样的区域范围，每个标签列出的方向是一个建议。 例如，AzureCloud 标记可用于允许入站流量。 在大多数情况下，我们不建议允许来自所有Azure IP 的流量，因为其他Azure客户使用的 IP 包含在服务标记中。

用户定义的路由 (UDR) 不支持标记

当前不支持将以下标记列表用于用户定义的路由（UDR）。

• AzurePlatformDNS
• AzurePlatformIMDS
• AzurePlatformLKM
• 虚拟网络
• Azure负载均衡器
• Internet

本地服务标记

可获取服务标记和范围的当前信息，将其包含在本地防火墙配置中。 此信息是对应于每个服务标记的 IP 范围的最新列表（截止目前）。 应通过编程方式或 JSON 文件下载来获取此信息，如下述部分所述。

使用服务标记发现 API

可以编程方式检索最新的服务标记列表和 IP 地址范围详细信息：

• 休息
• Azure PowerShell
• Azure CLI

例如，若要检索Storage服务标记的所有前缀，可以使用以下 PowerShell cmdlet：

$serviceTags = Get-AzNetworkServiceTag -Location chinaeast2
$storage = $serviceTags.Values | Where-Object { $_.Name -eq "Storage" }
$storage.Properties.AddressPrefixes

使用可下载的 JSON 文件发现服务标记

可以下载包含最新服务标记列表和 IP 地址范围详细信息的 JSON 文件。 这些列表每周更新和发布。 每个云的具体位置是：

• 由世纪互联运营的 Azure

这些文件中的 IP 地址范围采用 CIDR 表示法。

后续步骤

• 了解如何创建网络安全组。