使用 Azure 专用链接将网络连接到 Azure Monitor

通过 Azure 专用链接，可以使用专用终结点将 Azure 平台即服务 (PaaS) 资源安全地链接到虚拟网络。 Azure Monitor 是不同互连服务的集合，它们相互协同，共同监视你的工作负载。 Azure Monitor 专用链接将专用终结点连接到一组 Azure Monitor 资源，以定义监视网络的边界。 该集合称为 Azure Monitor 专用链接范围 (AMPLS)。

优势

借助专用链接，你可以：

• 以专用方式连接到 Azure Monitor，而无需开放任何公共网络访问权限。
• 确保仅可通过授权的专用网络访问监视数据。
• 通过定义通过专用终结点连接的特定 Azure Monitor 资源，防止专用网络出现数据泄露。
• 使用 Azure ExpressRoute 和专用链接将专用本地网络安全地连接到 Azure Monitor。
• 将所有流量保留在 Azure 主干网络中。

有关详细信息，请参阅专用链接的主要优势。

工作方式：主要原理

Azure Monitor 专用链接可将专用终结点连接到由 Log Analytics 工作区和 Application Insights 资源构成的一组 Azure Monitor 资源。 该集合称为 Azure Monitor 专用链接范围。

AMPLS：

• 使用专用 IP：借助虚拟网络上的专用终结点，可以通过网络池中的专用 IP 而不是终结点的公共 IP 来访问 Azure Monitor 终结点。 因此，可以继续使用 Azure Monitor 资源，而无需向不需要的出站流量开放虚拟网络。
• 在 Azure 主干网上运行：从专用终结点到 Azure Monitor 资源的流量将通过 Microsoft Azure 主干网运行，而不会路由到公用网络。
• 控制可以访问哪些 Azure Monitor 资源：将 AMPLS 配置为首选访问模式。 可以仅允许流量流向专用链接资源，也可以允许其流向专用链接和非专用链接资源（AMPLS 外部的资源）。
• 控制网络对 Azure Monitor 资源的访问：配置每个工作区或组件，以接受或阻止来自公共网络的流量。 可以对引入和查询请求应用不同的设置。

Azure Monitor 专用链接依赖于 DNS

设置专用链接连接时，DNS 区域会将 Azure Monitor 终结点映射到专用 IP，以通过专用链接发送流量。 Azure Monitor 同时使用特定于资源的终结点和共享的全局/区域终结点来访问 AMPLS 中的工作区和组件。

使用共享终结点也意味着应为共享同一 DNS 的所有网络使用单个 AMPLS。 创建多个 AMPLS 资源将导致 Azure Monitor DNS 区域相互替代，并中断现有环境。 要了解详细信息，请参阅按网络拓扑制定计划。

共享的全局和区域终结点

即使已为单个资源配置专用链接，发往以下终结点的流量仍将通过分配的专用 IP 发送：

• 所有 Application Insights 终结点：用于处理 Application Insights 终结点的数据引入、实时指标、探查器和调试器的终结点是全局的。
• 查询终结点：用于处理对 Application Insights 和 Log Analytics 资源的查询的终结点是全局的。

特定于资源的终结点

Log Analytics 终结点特定于工作区，但前面讨论的查询终结点除外。 因此，将特定 Log Analytics 工作区添加到 AMPLS 将会通过专用链接向此工作区发送引入请求。 其他工作区的数据引入将继续使用公共终结点。

数据收集终结点 也是特定于资源的。 使用新的 Azure Monitor 代理和数据收集规则时，可以使用它们来唯一配置引入设置，以便从计算机（或计算机集）收集来宾 OS 遥测数据。 为一组计算机配置数据收集终结点不会影响从使用新代理的其他计算机引入来宾遥测数据。

专用链接访问模式：仅限专用与公开

正如 Azure Monitor 专用链接依赖于 DNS中所述，对于共享同一 DNS 的所有网络，只应创建单个 AMPLS 资源。 因此，使用单个全局或区域 DNS 的组织具有单个专用链接来管理发往所有全局或区域网络中全部 Azure Monitor 资源的流量。

对于 2021 年 9 月之前创建的专用链接，这意味着：

• 日志引入仅适用于 AMPLS 中的资源。 无论订阅或租户如何，都拒绝引入所有其他资源（跨共享同一 DNS 的所有网络）。
• 查询具有更开放的行为，甚至允许查询请求访问不在 AMPLS 中的资源。 其目的是避免中断对不在 AMPLS 中的资源的客户查询，并允许以资源为中心的查询返回完整的结果集。

事实证明，对于某些客户来说，此行为过于严格，因为它会中断对不在 AMPLS 中的资源的引入。 但对于其他人来说又过于宽松，因为它允许查询不在 AMPLS 中的资源。

从 2021 年 9 月起，专用链接已具有新的强制性 AMPLS 设置，明确设置了专用链接应如何影响网络流量。 现在，创建新的 AMPLS 资源时，需要分别为引入和查询选择所需的访问模式：

• 仅专用模式：仅允许流量流向专用链接资源。
• 公开模式：使用专用链接与 AMPLS 中的资源进行通信，但也允许流量继续发往其他资源。 要了解详细信息，请参阅控制专用链接如何应用于网络。

虽然 Log Analytics 查询请求会受到 AMPLS 访问模式设置的影响，但 Log Analytics 引入请求使用特定于资源的终结点，因此不受 AMPLS 访问模式控制。 要确保 Log Analytics 引入请求无法访问 AMPLS 外部的工作区，请将网络防火墙设置为阻止流量发送到公共终结点，而无论 AMPLS 访问模式如何。

后续步骤

• 设计 Azure 专用链接设置。
• 了解如何配置专用链接。