配置 Azure 文件存储网络终结点

Azure 文件存储提供两种主要类型的终结点用于访问 Azure 文件共享:

  • 公共终结点:使用公共 IP 地址,可从全球任意位置访问。
  • 专用终结点:位于某个虚拟网络中,并使用该虚拟网络的地址空间内部的专用 IP 地址。

公共和专用终结点位于 Azure 存储帐户中。 存储帐户是代表共享存储池的管理结构,你可以在其中部署多个文件共享以及其他存储资源(例如,Blob 容器或队列)。

本文重点介绍如何配置存储帐户的终结点,以便直接访问 Azure 文件共享。

在阅读本操作指南之前,我们建议先阅读 Azure 文件存储的网络注意事项

先决条件

  • 本文假设已创建一个 Azure 订阅。 如果还没有订阅,请在开始前创建一个试用帐户
  • 本文假设已在要从本地连接到的存储帐户中创建了一个 Azure 文件共享。 若要了解如何创建 Azure 文件共享,请参阅创建 Azure 文件共享
  • 如果你打算使用 Azure PowerShell,请安装最新版本
  • 如果你打算使用 Azure CLI,请安装最新版本

终结点配置

可以配置终结点,以限制对存储帐户的网络访问。 可通过两种方法来仅限虚拟网络访问存储帐户:

创建专用终结点

为存储帐户创建专用终结点会部署以下 Azure 资源:

  • 一个专用终结点:表示存储帐户专用终结点的 Azure 资源。 可将此资源视为连接存储帐户和网络接口的资源。
  • 一个网络接口 (NIC) :在指定的虚拟网络/子网中保留专用 IP 地址的网络接口。 此网络接口是部署虚拟机时部署的同一个资源,但它不会分配到 VM,而是由专用终结点拥有。
  • 一个专用 DNS 区域:如果你以前从未为此虚拟网络部署过专用终结点,系统将为虚拟网络部署新的专用 DNS 区域。 此外,将为此 DNS 区域中的存储帐户创建 DNS A 记录。 如果已在此虚拟网络中部署了专用终结点,则会将存储帐户的新 A 记录添加到现有 DNS 区域。 部署 DNS 区域的操作是可选的,但我们强烈建议执行此操作;如果使用 AD 服务主体或 FileREST API 装载 Azure 文件共享,则此操作是必需的。

导航到要为其创建专用终结点的存储帐户。 在存储帐户的目录中依次选择“网络”、“专用终结点连接”,然后选择“+ 专用终结点”创建新的专用终结点 。

存储帐户目录中“专用终结点连接”项的屏幕截图

出现的向导包含多个要完成的页。

在“基本信息”边栏选项卡中,为专用终结点选择所需的资源组、名称和区域。 资源组、名称和区域可以任意配置,不必与存储帐户匹配,但必须在同一区域中创建专用终结点和用于容纳该专用终结点的存储帐户。

“创建专用终结点”部分中“基本信息”部分的屏幕截图

在“资源”边栏选项卡中,选中“连接到目录中的 Azure 资源”对应的单选按钮。 在“资源类型”下,选择“Microsoft.Storage/storageAccounts”为资源类型 。 “资源”字段用于指定包含要连接到的 Azure 文件共享的存储帐户。 因为针对 Azure 文件存储,所以目标子资源是“文件”。

在“配置”边栏选项卡中,可以选择要向其添加专用终结点的特定虚拟网络和子网。 必须选择上面将服务终结点添加到的子网以外的子网。 “配置”边栏选项卡还包含用于创建/更新专用 DNS 区域的信息。 建议使用默认的 privatelink.file.core.chinacloudapi.cn 区域。

“配置”部分的屏幕截图

单击“查看 + 创建”以创建专用终结点。

验证连接性

如果你在虚拟网络中有一个虚拟机,或者已按配置 Azure 文件存储的 DNS 转发所述配置了 DNS 转发,则可以通过在 PowerShell、命令行或终端(适用于 Windows、Linux 或 macOS)中运行以下命令,来测试是否已正确设置专用终结点。 必须将 <storage-account-name> 替换为相应的存储帐户名称:

nslookup <storage-account-name>.file.core.chinacloudapi.cn

如果一切成功进行,则应会看到以下输出,其中 192.168.0.5 是虚拟网络中专用终结点的专用 IP 地址(Windows 中显示的输出):

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.chinacloudapi.cn
Address:  192.168.0.5
Aliases:  storageaccount.file.core.chinacloudapi.cn

限制公共终结点访问

若要限制公共终结点访问,首先需要禁用对公共终结点的一般访问。 禁用对公共终结点的访问不会影响专用终结点。 禁用公共终结点后,可选择可以继续访问它的特定网络或 IP 地址。 通常,大多数针对存储帐户的防火墙策略仅限一个或多个虚拟网络进行网络访问。

禁止对公共终结点的访问

禁止对公共终结点的访问时,仍可通过存储帐户的专用终结点来访问该存储帐户。 否则,对存储帐户的公共终结点发出的有效请求将被拒绝,除非这些请求来自特别指定的源

导航到要限制对其公共终结点的所有访问的存储帐户。 在该存储帐户的目录中,选择“网络”。

在页面顶部,选中“选定的网络”单选按钮。 随后会显示一些用于控制公共终结点限制的设置。 选中“允许受信任的 Microsoft 服务访问此服务帐户”,以允许受信任的第一方 Microsoft 服务(例如 Azure 文件同步)访问存储帐户。

“网络”边栏选项卡的屏幕截图,其中显示实施了相应的限制

仅限从特定的虚拟网络访问公共终结点

如果仅限从特定的虚拟网络访问存储帐户,则会允许从指定的虚拟网络内部对公共终结点发出请求。 为此,可以使用称作“服务终结点”的虚拟网络功能。 在具有或没有专用终结点的情况下都可以使用此功能。

导航到仅限从特定虚拟网络访问公共终结点的存储帐户。 在该存储帐户的目录中,选择“网络”。

在页面顶部,选中“选定的网络”单选按钮。 随后会显示一些用于控制公共终结点限制的设置。 单击“+添加现有虚拟网络”,选择应允许其通过公共终结点访问存储帐户的特定虚拟网络。 这需要选择一个虚拟网络以及该虚拟网络的子网。

选中“允许受信任的 Microsoft 服务访问此服务帐户”,以允许受信任的第一方 Microsoft 服务(例如 Azure 文件同步)访问存储帐户。

“网络”边栏选项卡的屏幕截图,其中显示了允许通过公共终结点访问存储帐户的特定虚拟网络

另请参阅