私密且安全地连接到你的 Microsoft Purview 帐户
通过本指南，你将了解如何为 Microsoft Purview 帐户部署专用终结点，以便仅从 VNet 和专用网络连接到 Microsoft Purview 帐户。 若要实现此目标，需要为 Microsoft Purview 帐户部署“帐户”和“门户”专用终结点。
重要
目前，使用新的 Microsoft Purview 门户的 Microsoft Purview 实例只能使用引入专用终结点。
Microsoft Purview 帐户专用终结点用于增加额外的安全层，它可以实现仅允许源自虚拟网络内部的客户端调用访问 Microsoft Purview 帐户的方案。 此专用终结点也是门户专用终结点的一个必备组件。
若要能够使用专用网络连接到 Microsoft Purview 治理门户，则需要有 Microsoft Purview 门户专用终结点。
注意
如果只创建“帐户”和“门户”专用终结点，你将无法运行任何扫描。 若要在专用网络上启用扫描，你还需要创建一个引入专用终结点。
有关 Azure 专用链接服务的详细信息，请参阅专用链接和专用终结点。
部署清单
使用本指南，你可以为现有 Microsoft Purview 帐户部署这些专用终结点：
选择适当的 Azure 虚拟网络和子网来部署 Microsoft Purview 专用终结点。 选择以下选项之一：
- 在 Azure 订阅中部署新的虚拟网络。
- 找到 Azure 订阅中现有的 Azure 虚拟网络和子网。
定义适当的 DNS 名称解析方法，以便可以通过专用 IP 地址访问 Microsoft Purview 帐户和 Web 门户。 可以使用以下任一选项：
- 使用本指南中进一步说明的步骤来部署新的 Azure DNS 区域。
- 使用本指南中进一步说明的步骤来将所需的 DNS 记录添加到现有 Azure DNS 区域。
- 完成本指南中的步骤后，在现有 DNS 服务器中手动添加所需的 DNS A 记录。
为现有 Microsoft Purview 帐户部署帐户和门户专用终结点。
如果专用网络将网络安全组规则设置为拒绝所有公共 Internet 流量，请启用对 Microsoft Entra ID 的访问。
完成本指南后，根据需要调整 DNS 配置。
验证网络和名称解析（从管理计算机到 Microsoft Purview）。
启用帐户和门户专用终结点
你可以通过两种方式来为现有 Microsoft Purview 帐户添加 Microsoft Purview 帐户和门户专用终结点：
- 使用 Azure 门户（Microsoft Purview 帐户）。
- 使用专用链接中心。
使用 Azure 门户（Microsoft Purview 帐户）
转到 Azure 门户，选择 Microsoft Purview 帐户，在“设置”下选择“网络”，然后选择“专用终结点连接”。
选择“+ 专用终结点”创建新的专用终结点。
填写基本信息。
在“资源”选项卡中，对于“资源类型”，选择“Microsoft.Purview/accounts”。
对于“资源”，选择“Microsoft Purview 帐户”；对于“目标子资源”，选择“帐户”。
在“配置”选项卡上，选择虚拟网络并根据需要选择 Azure 专用 DNS 区域，以创建新的 Azure DNS 区域。
注意
对于 DNS 配置，还可以使用下拉列表中现有的 Azure 专用 DNS 区域，或稍后手动将所需 DNS 记录添加到 DNS 服务器。 有关详细信息，请参阅为专用终结点配置 DNS 名称解析
转到“摘要”页面，选择“创建”以创建门户专用终结点。
遵循同样的步骤，为“目标子资源”选择“门户” 。
使用专用链接中心
转到 Azure 门户。
在页面顶部的搜索栏中，搜索“专用链接”，然后选择第一个选项转到“专用链接”窗格。
选择“+ 添加”，并填写基本详细信息。
对于“资源”，选择已创建的 Microsoft Purview 帐户。 对于“目标子资源”，选择“帐户”。
在“配置”选项卡中，选择“虚拟网络”和“专用 DNS 区域”。 转到“摘要”页面，选择“创建”以创建帐户专用终结点。
注意
遵循同样的步骤，为“目标子资源”选择“门户” 。
启用对 Microsoft Entra ID 的访问
注意
如果 VM、VPN 网关或 VNet 对等互连网关具有公共 Internet 访问权限，则它可以访问 Microsoft Purview 门户以及启用了专用终结点的 Microsoft Purview 帐户。 出于此原因，无需遵循其他说明。 如果专用网络的网络安全组规则设置为拒绝所有公共 Internet 流量，则需要添加一些规则来启用 Microsoft Entra ID 访问。 请按照这些说明进行操作。
这些说明用于指导从 Azure VM 安全地访问 Microsoft Purview。 如果使用 VPN 或其他虚拟网络对等互连网关，必须遵循类似的步骤。
在 Azure 门户中转到 VM，并在“设置”下选择“网络”。 然后选择“出站端口规则”、“添加出站端口规则”。
在“添加出站安全规则”窗格中：
- 在“目标”下，选择“服务标记”。
- 在“目标服务标记”下，选择“AzureActiveDirectory”。
- 在“目标端口范围”下，选择 *。
- 在“操作”下，选择“允许”。
- 在“优先级”下，该值应高于拒绝所有 Internet 流量的规则。
创建规则。
按照相同的步骤创建另一个规则以允许“AzureResourceManager”服务标记。 如果需要访问 Azure 门户，还可以为“AzurePortal”服务标记添加规则。
连接到 VM 并打开浏览器。 选择 Ctrl+Shift+J 转到浏览器控制台，并切换到“网络”选项卡以监视网络请求。 在 URL 框中输入“web.purview.azure.cn”，并尝试使用 Microsoft Entra 凭据登录。 登录可能会失败，并且在控制台上的“网络”选项卡中，可以看到 Microsoft Entra ID 尝试访问 aadcdn.msauth.net 但被阻止。
在这种情况下，请在 VM 上打开命令提示符并运行 ping aadcdn.msauth.net 命令，获取其 IP，然后为 VM 的网络安全规则中的 IP 添加出站端口规则。 将“目标”设置为“IP 地址”，并将“目标 IP 地址”设置为 aadcdn IP。 由于 Azure 负载均衡器和 Azure 流量管理器，Microsoft Entra 内容分发网络 IP 可能是动态的。 获取其 IP 后，最好将它添加到 VM 的主机文件以强制浏览器访问该 IP，从而获取 Microsoft Entra 内容分发网络。
创建新规则后，返回到 VM，再次尝试使用 Microsoft Entra 凭据登录。 如果登录成功，则 Microsoft Purview 门户可供使用。 但在某些情况下，Microsoft Entra ID 会根据客户的帐户类型重定向到其他域来进行登录。 例如，对于 live.com 帐户，Microsoft Entra ID 会重定向到 live.com 进行登录，然后这些请求会再次被阻止。 对于 Microsoft 员工帐户，Microsoft Entra ID 将访问 msft.sts.microsoft.com 以获取登录信息。
在浏览器“网络”选项卡中检查网络请求以查看哪些域的请求被阻止，重新执行上一步以获取其 IP，并在网络安全组中添加出站端口规则以允许对该 IP 的请求。 如果可能，将 URL 和 IP 添加到 VM 的主机文件以修复 DNS 解析。 如果知道确切的登录域 IP 范围，还可以直接将它们添加到网络规则。
现在，你的 Microsoft Entra 登录应该会成功。 Microsoft Purview 门户将成功加载，但列出所有 Microsoft Purview 帐户将不起作用，因为它只能访问特定的 Microsoft Purview 帐户。 输入
web.purview.azure.cn/resource/{PurviewAccountName}以直接访问已成功设置专用终结点的 Microsoft Purview 帐户。