Segurança de rede

Este artigo descreve os requisitos de rede e as opções para servidores habilitados para Azure Arc.

Rede geral

Os servidores habilitados pelo Azure Arc são uma oferta de software como serviço, com uma combinação de pontos de extremidade globais e regionais compartilhados por todos os clientes. Toda a comunicação de rede do agente do Azure Connected Machine é de saída para o Azure. O Azure nunca entrará em sua rede para gerenciar suas máquinas. Essas conexões são sempre criptografadas usando certificados de TLS. A lista dos pontos de extremidade e endereços de IP acessados pelo agente está documentada nos requisitos de rede.

As extensões instaladas podem exigir pontos de extremidade extras não incluídos nos requisitos de rede do Azure Arc. Consulte a documentação da extensão para obter mais informações sobre os requisitos de rede para essa solução.

Se sua organização usar a inspeção do TLS, o agente do Azure Connected Machine não usará a fixação de certificado e continuará funcionando, desde que seu computador confie no certificado apresentado pelo serviço de inspeção do TLS. Algumas extensões do Azure Arc usam a fixação de certificado e precisam ser excluídas da inspeção do TLS. Consulte a documentação de todas as extensões implantadas para determinar se elas dão suporte à inspeção do TLS.

Pontos de extremidade privados

Os pontos de extremidade privados são uma tecnologia de rede opcional do Azure que permite que o tráfego de rede seja enviado pela Rota Expressa ou por uma VPN site a site e controle mais granularmente quais computadores podem usar o Azure Arc. Com pontos de extremidade privados, é possível usar endereços IP privados no espaço de endereço de rede da sua organização para acessar os serviços de nuvem do Azure Arc. Além disso, somente os servidores autorizados podem enviar dados por esses pontos de extremidade, o que protege contra o uso não autorizado do agente do Azure Connected Machine na sua rede.

É importante observar que nem todos os pontos de extremidade e nem todos os cenários têm suporte com os pontos de extremidade privados. Você ainda precisará criar exceções de firewall para alguns pontos de extremidade, como o Microsoft Entra ID, que não oferece uma solução de ponto de extremidade privado. Todas as extensões instaladas podem exigir outros pontos de extremidade privados (se houver suporte) ou acesso aos pontos de extremidade públicos para seus serviços. Além disso, não é possível usar o SSH ou o Windows Admin Center para acessar seu servidor por meio de um ponto de extremidade privado.

Independentemente de você usar pontos de extremidade privados ou públicos, os dados transferidos entre o agente do Azure Connected Machine e o Azure são sempre criptografados. Você sempre poderá começar com pontos de extremidade públicos e alternar posteriormente para pontos de extremidade privados (ou vice-versa) à medida que sua empresa precisa mudar.