Latest / M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch / Azure Private Link einfach erklärt: private Endpunkte statt öffentlicher Zugriff auf Storage, SQL & Co. (KI-Synchronfassung)

Transcript

Azure Private Link einfach erklärt: private Endpunkte statt öffentlicher Zugriff auf Storage, SQL & Co. (KI-Synchronfassung) · M365.FM – Microsoft 365, Copilot & KI Podcast auf Deutsch

• 0:00
  Bereit für 10 Tage voller Microsoft 305 West sich Co-Pilot, KI, Azure und den Menschen, die die Zukunft der Arbeit gestalten?
• 0:07
  Diesen Januar ist die M365-Con zurück und wir legen noch eins drauf.
• 0:12
  Seien Sie dabei bei Live-Sitzungen, praxisnahen Demos und Expertenwissen von MVPs und Branchenkennern weltweit.
• 0:18
  Keine generischen Folien, kein endloses Buzzword-Bingo.
• 0:21
  Wir gehen die echten Herausforderungen an.
• 0:23
  Co-Pilot Studio, KI-Agenten, Fabric, Sicherheit, Governance und Automatisierung.
• 0:28
  Egal ob IT-Profi, Entwickler oder Führungskraft, es gibt maßgeschneiderte Sitzungen für Sie, Sie.
• 0:35
  An zehn vollen Tagen können Sie zahlreiche Technologien erkunden und sich mit einer globalen Community vernetzen.
• 0:40
  Schauen Sie live zu und nehmen Sie praktische Erkenntnisse mit in Ihr Unternehmen.
• 0:45
  Januar 2027, 10 Tage, eine Microsoft-Community.
• 0:49
  Die Registrierung ist jetzt geöffnet.
• 0:51
  Besuchen Sie M3-Entyp von Technik und Tonk.net und sichern Sie sich noch heute Ihren Platz.
• 0:55
  Das ist M3155.net.
• 1:00
  Melden Sie sich jetzt unter M3156.com.net an.
• 1:02
  Wir sehen uns live im Januar.
• 1:04
  Willkommen zu einer weiteren Folge der Microsoft Knowledge Nuggets hier bei M365FM.
• 1:09
  Ich bin der Gastgeber Mirko Pirotz.
• 1:10
  Das heutige Thema ist etwas, von dem fast jeder schon gehört hat, das aber nur wenige klar erklären können.
• 1:14
  Azure Private Link.
• 1:16
  Sie haben die Option wahrscheinlich schon beim Einrichten eines Speicherkontos oder einer SQL-Datenbank gesehen.
• 1:19
  Aber was bewirkt Sie eigentlich und brauchen Sie sie wirklich?
• 1:22
  Hier liegt der Fehler, den die meisten machen.
• 1:23
  Sie gehen davon aus, dass ein Dienst automatisch privat ist, weil er in Azure läuft und standardmäßig vom Internet abgeschottet ist.
• 1:29
  Das stimmt nicht, nicht einmal in Ansatzweise.
• 1:32
  Die meisten Azure-PS-Dienste, wie Storage, SQL oder Key Vault, haben standardmäßig einen öffentlichen Endpunkt.
• 1:38
  Das bedeutet, jeder im Internet kann sie erreichen, sofern er die richtige URL und die Anmeldedaten hat.
• 1:43
  Am Ende dieser Folge werden Sie verstehen, was Private Link wirklich ist, warum es existiert und wie es Ihren Datenverkehr aus dem öffentlichen Internet heraushält.
• 1:50
  Wir erklären es anhand einfacher Analogie.
• 1:52
  Kein Marketinggeräte, kein Fachchinesisch, nur Klartext.
• 1:55
  Die alte Methode, öffentliche Endpunkte überall.
• 1:58
  Fangen wir mit dem Problem an.
• 1:59
  Bevor es Private Link gab, erhielt jeder Azure-PS-Dienst standardmäßig einen öffentlichen Endpunkt.
• 2:04
  Sie erstellen ein Speicherkonto und Azure gibt Ihnen etwas wie
• 2:06
  gemein-speicherkonto.blog.core.windows.core.wender.
• 2:10
  Diese URL wird in eine öffentliche IP-Adresse aufgelöst.
• 2:13
  Jeder mit Internetzugang kann versuchen, sich damit zu verbinden.
• 2:15
  Stellen Sie sich nun vor, Sie haben einen virtuellen Computer, der in Ihrem eigenen virtuellen Azure-Netzwerk läuft.
• 2:19
  Dieser VM muss einige Dateien aus dem Blog Speicher lesen.
• 2:22
  Sie denken, der Datenverkehr bliebe innerhalb von Azure richten.
• 2:24
  Beide Ressourcen befinden sich in derselben Klappe.
• 2:26
  Aber so funktioniert es leider nicht.
• 2:27
  Die VM muss ihr virtuelles Netzwerk verlassen, über das öffentliche Internet gehen
• 2:30
  und dann zurück in Azure gelangen, um das Speicherkonto zu erreichen, um das Speicherkonto zu erreichen.
• 2:34
  Es ist, als stünden Sie in einem Raum eines Bürogebäudes
• 2:36
  und müssten etwas aus dem Vorratsschrank im selben Gebäude holen.
• 2:39
  Doch statt den Flur entlang zu gehen, müssen Sie erst nach draußen gehen, um den Blog laufen
• 2:42
  und durch eine andere Tür wieder hereinkommen.
• 2:44
  Das ergibt keinen Sinn, aber genau das passierte hier.
• 2:46
  Das ist ein echtes Problem.
• 2:47
  Ihre Daten reisen über das öffentliche Internet,
• 2:49
  obwohl beide Ressourcen in Microsofts eigenen Rechenzentren liegen.
• 2:52
  Der Datenverkehr ist zwar verschlüsselt, aber dennoch dem offenen Internet ausgesetzt.
• 2:56
  Er läuft weiterhin über Router und Switches, die Sie nicht kontrollieren.
• 3:00
  Und sollte jemand diesen Datenverkehr abfangen, könnte er sehen, was Sie versenden.
• 3:04
  Es gibt ja einen weit verbreiteten Nürnberg.
• 3:05
  Viele Leute denken, nun, es ist in meinem Abonnement, also es ist privat.
• 3:08
  So funktioniert das aber nicht.
• 3:10
  Ihr Abonnement ist eine Abrechnungs- und Verwaltungsgrenze, keine Netzwerkgrenze.
• 3:13
  Standardmäßig sind Ihre Azure-Dienste aus dem Internet erreichbar.
• 3:16
  Das Einzige, was Sie schützt, ist die Authentifizierungs- und Autorisierungsebene,
• 3:19
  die Schlüssel-, die Passwörter- und die Firewall-Regeln.
• 3:22
  Der Netzwerkpfad selbst ist jedoch öffentlich.
• 3:24
  Microsoft hat sich das angesehen und gesagt, es muss besser gehen.
• 3:26
  Und Sie haben es gebaut.
• 3:27
  Sie nannten es Private Link.
• 3:29
  Die Lösung, ein privater Endpunkt als Netzwerkschnittstellenkarte.
• 3:32
  Private Link ist der Gesamtdienst.
• 3:34
  Aber das Kernstück, das Sie verstehen müssen, ist der private Endpunkt.
• 3:37
  Eine virtuelle Netzwerkschnittstellenkarte, kurz NEC, die in Ihrem virtuellen Netzwerk sitzt
• 3:41
  und eine Verbindung zu einem PS-Dienst herstellt.
• 3:44
  So funktioniert es.
• 3:45
  Sie erstellen einen privaten Endpunkt für Ihr Speicherkonto.
• 3:48
  Und Azure erstellt eine virtuelle NEC in Ihrem virtuellen Netzwerk mit einer privaten IP aus Ihrem Subnetz.
• 3:53
  Dies in IC verbindet sich im Backend über Private Link mit dem Speicherkonto.
• 3:58
  Aus Sicht Ihrer VM sieht das Speicherkonto nun so aus,
• 4:00
  als würde es sich innerhalb Ihres eigenen Netzwerks mit einer privaten IP befinden,
• 4:03
  genau wie jede andere Ressource.
• 4:04
  Wenn Ihre VM-Datenverkehr an dieses Speicherkonto sendet,
• 4:08
  trifft diese auf die private IP der NEC und reist über das Microsoft-Backbone-Netzwerk,
• 4:12
  niemals über das öffentliche Internet.
• 4:14
  Es verlässt niemals die interne Infrastruktur von Azure,
• 4:16
  denn siehst sich wie diesen sicheren Flur im Bürogebäude vor.
• 4:19
  Statt nach draußen und um den Block zu laufen,
• 4:21
  gehen Sie einfach den Korridor entlang, direkt zum Vorratsschrank.
• 4:23
  Direkte Verbindung, kein Umweg.
• 4:26
  Hier ist nun eine Nuance, die viele Leute übersehen.
• 4:28
  Die Aktivierung eines privaten Endpunkts schaltet den öffentlichen Endpunkt nicht automatisch ab.
• 4:32
  Beide können gleichzeitig existieren.
• 4:33
  Wenn Sie einen privaten Endpunkt erstellen,
• 4:35
  aber die Einstellung des öffentlichen Endpunkts nicht ändern,
• 4:37
  ist Ihr Speicherkonto weiterhin aus dem Internet erreichbar.
• 4:40
  Sie müssen den öffentlichen Netzwerkzugriff explizit deaktivieren,
• 4:42
  um ihn vollständig abzuregeln.
• 4:43
  Viele Leute denken, die Erstellung eines privaten Endpunkts sei ausreichend.
• 4:46
  Das ist sie nicht.
• 4:46
  Sie müssen Azure mitteilen, dass Sie nur privaten Zugriff wünschen.
• 4:49
  Lassen Sie mich bei dieser Gelegenheit noch mal älteren Mythos auf.
• 4:51
  PrivateLink ist nicht dasselbe wie ein VPN oder ExpressRoute.
• 4:54
  Sie lösen unterschiedliche Probleme
• 4:55
  und auf diesen Vergleich kommen wir später zurück.
• 4:57
  Für den Moment genügt es zu wissen,
• 4:58
  dass PrivateLink den Zugriff auf einen bestimmten Dienst ermöglicht
• 5:01
  und nicht Ihr gesamtes Netzwerk mit Azure verbindet.
• 5:03
  Sie haben also Ihren privaten Endpunkt
• 5:04
  und Ihre VM kann das Speicherkonto über eine private IP erreichen.
• 5:08
  Aber wie findet Ihre VM eigentlich dieses Speicherkonto?
• 5:10
  Früher wurde die öffentliche URL in eine öffentliche IP aufgelöst.
• 5:13
  Jetzt benötigt Sie eine private IP.
• 5:15
  Wie funktioniert das?
• 5:15
  Hier kommt DNS ins Spiel
• 5:16
  und das schauen wir uns als nächstes an.
• 5:19
  DNS ist das Geheimrezept, das alles ermöglicht.
• 5:21
  Sie haben Ihren privaten Endpunkt
• 5:23
  und Ihre VM kann das Speicherkonto über eine private IP erreichen.
• 5:26
  Aber hier ist der Punkt, Ihre VM kennt diese IP nicht.
• 5:30
  Sie kennt die URL des Speicherkontos, etwa mein Speicherkonto,
• 5:33
  blob.core.windows.net.
• 5:35
  Das ist der Name, den Sie für die Verbindung verwenden.
• 5:37
  Die findet Sie also die private IP anstelle der öffentlichen.
• 5:39
  Dies ist der Punkt, an dem DNS die Hauptarbeit leistet.
• 5:41
  Wenn Sie einen privaten Endpunkt erstellen
• 5:43
  und sich für die Integration in eine private DNS-Zone entscheiden,
• 5:45
  was Sie tun sollten, erstellt Azure automatisch eine für Sie.
• 5:48
  Für ein Blob-Speicherkonto heißt diese Zone private Link.
• 5:51
  blob.core.windows.net.
• 5:53
  Innerhalb dieser Zone fügt Azure einen A-Eintrag hinzu,
• 5:56
  der Ihren Speicherkontonamen der privaten IP des Endpunkts zuordnet.
• 5:58
  Und jetzt kommt der raffinierte Teil.
• 6:00
  Die ursprüngliche öffentliche URL wird immer noch aufgelöst,
• 6:02
  aber anstatt direkt eine öffentliche IP zurückzugeben,
• 6:04
  wird ein CNAME-Eintrag zurückgegeben,
• 6:05
  der auf die private Zone verweist.
• 6:07
  Die Auflösungskette sieht also folgendermaßen.
• 6:09
  Ihre VM fragt nach der URL des Speicherkontos.
• 6:11
  DNS gibt einen CNAME zurück, der auf mein Speicherkonto verweist.
• 6:14
  privatlink.blog.core.windows.net,
• 6:17
  das sich in der privaten DNS-Zone befindet,
• 6:19
  die mit Ihrem virtuellen Netzwerk verknüpft ist.
• 6:21
  DNS löst dies in die private IP auf,
• 6:23
  die VM verbindet sich mit dieser privaten IP
• 6:24
  und der Datenverkehr gelangt nie in das öffentliche Internet.
• 6:27
  Stellen Sie es sich wie den Empfang in einem Bürogebäude vor.
• 6:30
  Jemand kommt herein und fragt nach dem Versorgungsschrank
• 6:32
  und der Empfang schickt ihn nicht nach draußen.
• 6:34
  Sie zeigen ihm den richtigen Flur im Inneren.
• 6:36
  Die private DNS-Zone ist wie ein Empfangsmitarbeiter,
• 6:38
  der den Datenverkehr an die richtige Stelle leitet,
• 6:40
  ohne das Gebäude zu verlassen.
• 6:41
  Wie das funktioniert, hängt davon ab, wo sich Ihre VM befindet.
• 6:43
  Wenn Sie sich im selben virtuellen Netzwerk wie der private Endpunkt befindet,
• 6:46
  ist die private DNS-Zone verknüpft,
• 6:48
  sodass die Auflösung automatisch erfolgt.
• 6:49
  Befindet Sie sich in einem Peering-Netzwerk,
• 6:51
  müssen Sie die Zone auch mit diesem Peering-Netzwerk verknüpfen.
• 6:53
  Bei lokalen Maschinen über VPN oder Express-Route
• 6:55
  wird es etwas aufwendiger.
• 6:57
  Normalerweise richten Sie eine DNS-Weiterleitung ein
• 6:59
  oder nutzen den Azure DNS-Private-Resolver,
• 7:00
  um sicherzustellen, dass Abfragen die private Zone erreicht.
• 7:02
  Aber für die meisten Szenarien innerhalb von Azure
• 7:04
  werden die Grundlagen für Sie erledigt.
• 7:06
  DNS kann in größeren Umgebungen komplex werden,
• 7:09
  aber im Standardfall einer VM im selben virtuellen Netzwerk
• 7:11
  wie der private Endpunkt erledigt Azure.
• 7:13
  Das automatisch.
• 7:14
  Sie müssen sich um nichts kümmern.
• 7:16
  Sehen wir uns das anhand eines echten Beispiels an.
• 7:18
  Praxisnahe Durchlaufen.
• 7:19
  Private Link mit Azure Storage.
• 7:21
  Machen wir es konkret.
• 7:22
  Angenommen, Sie haben eine virtuelle Maschine,
• 7:24
  die in Ihrem virtuellen Azure-Netzwerk läuft.
• 7:26
  Diese VM muss Dateien von einem Azure Blob Storage-Konto abrufen.
• 7:30
  Das sind gängige Konfluren.
• 7:31
  Vielleicht speichert eine Anwendung Benutzer-Uploads
• 7:33
  oder ein Datenverarbeitungsjob liest aus einem Container.
• 7:35
  Ohne Private Link passiert Folgendes.
• 7:37
  Dieser VM schlägt die öffentliche URL des Speicherkontos nach
• 7:40
  und erhält eine öffentliche IP-Adresse.
• 7:42
  Der Datenverkehr verlässt Ihr virtuelles Netzwerk,
• 7:43
  geht über das öffentliche Internet
• 7:44
  und kehrt dann in Azure zurück,
• 7:46
  um das Speicherkonto zu erreichen.
• 7:47
  Dieser Hin- und Rückweg ist unnötig.
• 7:48
  Beide Ressourcen befinden sich bereits in Azure,
• 7:51
  aber die Daten machen trotzdem einen Umweg
• 7:52
  über das offene Internet.
• 7:53
  Mit Private Link stellen Sie einen privaten Endpunkt
• 7:55
  für die Blob- und Ressource des Speicherkontos bereit.
• 7:58
  Das ist der spezifische Teil der Blob-Daten verarbeitet.
• 8:01
  Azure erstellt eine virtuelle Netzwerkkarte
• 8:02
  in Ihrem virtuellen Netzwerk mit einer privaten IP,
• 8:04
  richtet die private DNS-Zone ein
• 8:05
  und die gesamte DNS-Auflösungskette,
• 8:07
  über die wir gesprochen haben, greift.
• 8:09
  Wenn Ihre VM nun dieselbe URL
• 8:10
  mystorageaccount.core.tor.core.windows.net auflöst,
• 8:13
  erhält Sie die private IP anstelle der Öffentlichen.
• 8:15
  Der Datenverkehr fließt von der VM
• 8:17
  zum privaten Endpunkt
• 8:19
  und dann über das Microsoft-Backbone
• 8:20
  zum Speicherkonto.
• 8:22
  Äh, er verlässt zu keinem Zeitpunkt
• 8:23
  das Internet-Netzwerk von Azure.
• 8:25
  Das ist der entscheidende Punkt.
• 8:26
  Ihre Anwendung ändert sich nicht.
• 8:27
  Keine Änderung von Verbindungszeichenfolgen,
• 8:29
  keine Aktualisierung von Konfigurationstechnen.
• 8:30
  Die URL bleibt dieselbe.
• 8:32
  Das Einzige, was sich ändert,
• 8:32
  ist die Art und Weise wie diese Uhr hüttelt.
• 8:34
  Aus Sicht der Anwendung
• 8:35
  verbindet sie sich immer noch
• 8:36
  mit dem selben Speicherkonto.
• 8:37
  Aber im Hintergrund
• 8:38
  ist der Verkehrsweg völlig anders.
• 8:40
  Und wenn Sie den kompletten Schutz wollen,
• 8:42
  können Sie den öffentlichen Endpunkt
• 8:43
  vollständig deaktivieren.
• 8:45
  Speicherkonto nur noch
• 8:46
  über den privaten Endpunkt erreichbar ist.
• 8:48
  Keine Internet-Exposition mehr.
• 8:49
  Niemand kann auch nur versuchen,
• 8:50
  sich von außen zu verbinden.
• 8:51
  Eine weitere Sache ist erwähnen.
• 8:53
  Speicherkonten haben mehrere unter Ressourcen.
• 8:55
  Blob ist eine davon,
• 8:56
  aber es gibt auch File, Table und Queue.
• 8:58
  Jede kann einen eigenen privaten Endpunkt haben.
• 9:00
  Sie könnten einen für Blob-Datenverkehr
• 9:01
  und einen separaten für File-Datenverkehr.
• 9:03
  Oder Sie nutzen einen einzelnen Endpunkt für alle,
• 9:05
  je nach Bedarf.
• 9:06
  Vielleicht fragen Sie sich jetzt,
• 9:07
  wie sich das von anderen
• 9:07
  Azure-Konnektivitätsoptionen unterscheidet.
• 9:09
  VPN, Express Route to Service Endpunkt.
• 9:12
  Die klingen alle ähnlich.
• 9:13
  Lassen Sie uns das klären.
• 9:13
  Private Link gegenüber VPN, Express Route
• 9:16
  und Service Endpunkten.
• 9:18
  Wie schlägt sich Private Link
• 9:19
  also im Vergleich zu VPN, Express Route
• 9:20
  und Service Endpunkten?
• 9:22
  Sie klingen, als würden Sie dasselbe tun,
• 9:23
  lösen aber eigentlich unterschiedliche Probleme.
• 9:25
  Und in vielen Fällen verwendet man sie zusammen.
• 9:27
  Fangen wir mit VPN an.
• 9:28
  Ein virtuelles, privates Netzwerk
• 9:30
  verbindet Ihr lokales Netzwerk
• 9:31
  über das öffentliche Internet mit Azure.
• 9:33
  Es erstellt einen verschlüsselten Tunnel
• 9:34
  zwischen Ihrem Standort und Azure.
• 9:36
  Der Datenverkehr ist zwar verschlüsselt,
• 9:37
  läuft aber immer noch über das öffentliche Internet.
• 9:39
  Der Tunnel ist sicher,
• 9:40
  aber die Straße, auf der er liegt, ist öffentlich.
• 9:42
  Private Link ersetzt kein VPN.
• 9:44
  Es ergänzt es.
• 9:45
  Sie könnten ein VPN nutzen,
• 9:47
  um Ihr Büro mit Azure zu verbinden
• 9:48
  und dann Private Link,
• 9:49
  um von dort privat auf Ihr Speicherkonto zuzugreifen.
• 9:52
  Express Route ist anders.
• 9:53
  Es bietet Ihnen eine dedizierte private Leitung
• 9:55
  von Ihrem Rechenzentrum zu Azure.
• 9:56
  Der Datenverkehr berührt das öffentliche Internet
• 9:58
  zu keinen Zeitpunkt.
• 9:59
  Es ist, als hätten Sie eine eigene Privatstraße
• 10:00
  direkt in das Netzwerk von Microsoft.
• 10:02
  Aber hier ist der Haken.
• 10:03
  Express Route allein
• 10:04
  bietet Ihnen keinen privaten Zugriff auf Paris-Dienst.
• 10:06
  Es verbindet Ihr Netzwerk mit Azure,
• 10:08
  aber Ihr Speicherkonto hat weiterhin einen öffentlichen Endpunkt.
• 10:10
  Sie kombinieren Express Route mit Private Link,
• 10:12
  um echten privaten Zugriff auf diese Dienste zu erhalten.
• 10:15
  Service Endpunkte sind ältere Technologie.
• 10:17
  Sie ermöglichen es,
• 10:17
  den Zugriff auf einen Azure-Dienst so zu beschränken,
• 10:19
  dass nur Datenverkehr aus Ihrem virtuellen Netzwerk diesen erreicht.
• 10:22
  Aber das Problem ist,
• 10:22
  der Dienst hat weiterhin einen öffentlichen Endpunkt.
• 10:24
  Sie fügen lediglich eine Firewall-Regel hinzu,
• 10:26
  die besagt,
• 10:26
  nur Datenverkehr aus diesem V-Net zulassen.
• 10:28
  Der Endpunkt selbst ist weiterhin im Internet ausgesetzt.
• 10:31
  Private Link ist sicherer,
• 10:32
  da der Endpunkt wirklich in Ihrem V-Net liegt
• 10:33
  und eine private IP hat.
• 10:35
  Es gibt keinen öffentlichen Endpunkt,
• 10:36
  den man angreifen kann.
• 10:37
  Ich gebe Ihnen eine einfache Möglichkeit,
• 10:38
  darüber nachzudenken.
• 10:39
  VPN ist ein sicherer Tunnel durch eine öffentliche Straße.
• 10:41
  Express Route ist eine Privatstraße,
• 10:43
  die direkt zu Azure führt.
• 10:44
  Service Endpunkte sind ein Wachmann am öffentlichen Tor,
• 10:45
  der Ausweise kontrolliert.
• 10:47
  Private Link ist ein direkter Flur innerhalb des Gebäudes.
• 10:49
  Sie müssen das Gebäude überhaupt nicht verlassen.
• 10:51
  Welche Option soll zu wählen?
• 10:52
  Es kommt darauf an.
• 10:53
  Um Ihr Büro mit Azure zu verbinden,
• 10:55
  sind VPN oder Express Route Ihre Optionen.
• 10:57
  Für den privaten Zugriff auf Paris-Dienste
• 10:59
  ist Private Link der Goldstandard.
• 11:01
  Und für höchste Sicherheit kombinieren Sie beides.
• 11:03
  Express Route bringt Ihren Datenverkehr privat nach Azure
• 11:05
  und Private Link ermöglicht dem privaten Zugriff
• 11:07
  auf Ihre Dienste von dort aus.
• 11:09
  Doch Private Link ist nicht nur für Microsoft-Dienste gedacht.
• 11:11
  Sie können es auch für eigene Anwendungen nutzen,
• 11:13
  indem der private Link-Dienst
• 11:14
  Ihre eigenen privaten Endpunkte hostet.
• 11:16
  Hier ist etwas, das viele übersehen.
• 11:18
  Private Link dient nicht nur dem Konsum von Azure-Diensten.
• 11:21
  Sie können es auch nutzen,
• 11:22
  um Ihre eigenen Anwendungen der Welt zugänglich zu machen.
• 11:24
  Genau dafür wurde der Private Link-Dienst entwickelt,
• 11:26
  den Sie sich vor, Sie entsassen.
• 11:27
  Sie haben eine Anwendung,
• 11:29
  die auf virtuellen Maschinen
• 11:29
  hinter einem Standard-Load-Balancer läuft
• 11:31
  und auf die Ihre Kunden zugreifen.
• 11:33
  Traditionell hatten Sie zwei Möglichkeiten,
• 11:34
  alles für das Internet freigeben
• 11:35
  oder ein VPN zwischen Ihrem und deren Netzwerk einrichten.
• 11:38
  Beide haben große Nachteile.
• 11:40
  Öffentliche Verfügbarkeit birgt Sicherheitsrisiken.
• 11:43
  VPN sind komplex in Verwaltung und Wartung.
• 11:45
  Der private Link-Dienst löst dieses Problem.
• 11:47
  Sie erstellen den Dienst,
• 11:48
  verknüpfen ihn mit Ihrem Standard-Load-Balancer
• 11:49
  und Ihre Kunden können einen privaten Endpunkt
• 11:51
  in Ihrem eigenen virtuellen Netzwerk erstellen.
• 11:53
  Dieser Endpunkt verbindet sich direkt mit Ihrem Dienst.
• 11:55
  Kein Peering, kein VPN
• 11:56
  und absolut keine öffentliche Exposition.
• 11:58
  Der Datenverkehr fließt vom privaten Endpunkt
• 12:00
  über das Microsoft-Backbone direkt zu Ihrem Dienst.
• 12:03
  Er berührt niemals das Internet.
• 12:05
  Ihr Dienst erhält einen global eindeutigen Alias,
• 12:07
  etwa myapp.git.git.azure.private-Link-Service.
• 12:11
  Diesen Alias nutzen Kunden zur Verbindung
• 12:13
  und Sie haben die volle Kontrolle darüber,
• 12:14
  wer ihn sehen kann.
• 12:16
  Sie können die Sichtbarkeit über RBRC-Rollen
• 12:17
  oder bestimmte Abonnements einschränken
• 12:19
  oder jedem mit dem Alias eine Verbindungsanfrage erlauben.
• 12:22
  Jede Verbindungsanfrage geht zur manuellen Genehmigung an Sie,
• 12:24
  sodass Sie immer genau wissen, wer sich verbindet.
• 12:26
  Für SaaS-Anbieter ist dies ein enormer Wandel.
• 12:28
  Anstatt Firewall-Regeln zu öffnen
• 12:30
  oder komplexe VPN-Konfigurationen zu verwalten,
• 12:32
  geben Sie dem Kunden einfach den Alias.
• 12:34
  Er stellt einen privaten Endpunkt,
• 12:35
  Sie genehmigen ihn und das war's.
• 12:37
  Eine Einschränkung gibt es.
• 12:40
  Der private Link-Dienst funktioniert nur
• 12:41
  mit Standard-Load-Balancer, nicht mit Basic.
• 12:43
  Falls Sie noch einen Basic-Load-Balancer nutzen,
• 12:44
  müssen Sie zuerst einen Upgrade durchführen.
• 12:46
  Das ist ein kleiner Preis für die Sicherheit und Einfachheit,
• 12:48
  die Sie im Gegenzug erhalten.
• 12:49
  All diese Sicherheit klingt großartig,
• 12:51
  aber was bedeutet das eigentlich
• 12:52
  für Ihre Compliance-Anforderungen und Ihr Budget?
• 12:54
  Sicherheit, Compliance und Kostenbetrachtung.
• 12:56
  Sprechen wir darüber, was Private Link
• 12:58
  wirklich für Ihre Compliance-Anforderungen
• 12:59
  und Ihren Geldbeutel bedeutet.
• 13:01
  Zuerst die Sicherheitsseite.
• 13:02
  Private Link reduziert Ihre Angriffsfläche,
• 13:04
  indem öffentliche Endpunkte vollständig eliminiert werden.
• 13:06
  Das ist der wichtigste Vorteil.
• 13:07
  Anstatt eines Speicherkontos oder einer SQL-Datenbank,
• 13:09
  die aus dem Internet erreichbar ist,
• 13:11
  haben Sie eine Ressource,
• 13:11
  die nur auf Datenverkehr aus Ihrem virtuellen Netzwerk reagiert.
• 13:14
  Keine öffentliche IP zum Scannen,
• 13:15
  kein offener Port zum Ausspülen.
• 13:17
  Die Angriffsfläche verringert sich drastisch.
• 13:19
  Hier ist ein weiterer Vorteil,
• 13:20
  der zu wenig Beachtung findet,
• 13:21
  die Vermeidung von Datenlinks.
• 13:22
  Jeder Private Endpoint
• 13:23
  ist einer spezifischen Ressourceninstanz zugeordnet.
• 13:25
  Nicht dem gesamten Dienst,
• 13:27
  nicht jedem Speicherkonto in Ihrem Abonnement,
• 13:28
  sondern nur genau diesem.
• 13:29
  Wenn also jemand eine Arbeitslast
• 13:30
  in Ihrem virtuellen Netzwerk kompromittiert,
• 13:32
  kann er diesen Private Endpoint nicht nutzen,
• 13:34
  um andere Speicherkonten zu erreichen.
• 13:36
  Sie sind auf die eine Ressource beschränkt,
• 13:37
  die Sie genehmigt haben.
• 13:38
  Für Sicherheitsteams
• 13:39
  ist diese Einwärmung von großer Bedeutung.
• 13:40
  Im Bereich Compliance
• 13:41
  erfüllt Private Link viele Anforderungen.
• 13:43
  Vorschriften wie HIPA, DSGVO und PCI
• 13:45
  schreiben oft vor,
• 13:46
  dass sensible Daten
• 13:47
  niemals über öffentliche Netzwerke
• 13:48
  übertragen werden dürfen.
• 13:49
  Private Link bietet Ihnen
• 13:50
  eine saubere Möglichkeit,
• 13:51
  dies nachzuweisen.
• 13:52
  Ihr Datenverkehr bleibt im Microsoft Backbone
• 13:53
  und Sie können auf die Auditlogs verweisen
• 13:54
  und sagen, hier ist der Beweis.
• 13:57
  Für regulierte Branchen
• 13:58
  kann das allein die Investition rechtfertigen.
• 14:00
  Lassen Sie uns nun über die Kosten sprechen,
• 14:01
  denn hier sind viele überrascht.
• 14:03
  Private Link ist nicht kostenlos.
• 14:04
  Sie zahlen eine stündliche Gebühr
• 14:05
  für jeden Private Endpoint
• 14:06
  sowie Datenverarbeitungsgebühren
• 14:08
  für den hindurchfließenden Verkehr.
• 14:10
  Je nach Nutzung kann dies
• 14:10
  zwei bis dreimal teurer sein
• 14:12
  als die Verwendung eines öffentlichen Endpunkts
• 14:13
  mit Firewall-Regeln.
• 14:15
  Das summiert sich schnell,
• 14:16
  besonders wenn Sie viele Endpunkte haben.
• 14:18
  Hier also die ehrliche Einschätzung.
• 14:19
  Private Link ist nicht immer die richtige Wahl.
• 14:21
  Wenn Sie eine Entwicklungs- oder Testumgebung
• 14:23
  ohne sensible Daten betreiben,
• 14:24
  sind öffentliche Endpunkte
• 14:25
  mit entsprechenden Firewall-Regeln
• 14:26
  wahrscheinlich ausreichend.
• 14:28
  Wenn Sie eine öffentliche Website hosten,
• 14:29
  die aus dem Internet zugänglich sein soll,
• 14:31
  hilft Ihnen Private Link
• 14:31
  nicht weiter.
• 14:32
  Aber für Produktionsumgebungen
• 14:33
  in regulierten Branchen
• 14:34
  wie Finanzen, Gesundheitswesen oder Behörden
• 14:36
  ist Private Link erforderlich.
• 14:37
  Es sind die Kosten
• 14:38
  für sicheres Geschäftshandeln.
• 14:40
  Bevor Sie dies implementieren,
• 14:41
  gibt es einige Fallstricke zu beachten.
• 14:43
  Fallstricke bei der Implementierung.
• 14:44
  Was Anfänger übersehen?
• 14:45
  Lassen Sie mich in einige Kopfschmerzen ersparen.
• 14:47
  Hier sind die häufigsten Fehler,
• 14:48
  die beim ersten Einrichten
• 14:49
  von Private Link gemacht werden.
• 14:51
  Zuerst einmal müssen Sie
• 14:52
  den öffentlichen Endpunkt deaktivieren,
• 14:53
  nachdem Sie den privaten Endpunkt erstellt haben.
• 14:55
  Das ist der größte Fallstricke.
• 14:56
  Viele Leute erstellen den Private Endpoint
• 14:57
  und gehen davon aus, dass das reicht,
• 14:58
  aber das tut es nicht.
• 14:59
  Der öffentliche Endpunkt bleibt standardmäßig aktiv,
• 15:01
  was bedeutet, dass Ihr Datenverkehr
• 15:03
  weiterhin über das Internet fließen kann.
• 15:04
  Sie müssen in die Netzwerkeinstellungen gehen
• 15:05
  und den öffentlichen Netzwerkzugriff
• 15:07
  explizit ausschalten.
• 15:08
  Wenn Sie diesen Schritt auslassen,
• 15:09
  haben Sie eigentlich gar nichts abgesichert.
• 15:11
  Als nächstes, die DNS-Auflösung
• 15:12
  für On-Premises-Clients
• 15:13
  erfordert eine zusätzliche Einrichtung.
• 15:15
  Wenn Sie Geräte im Büro haben,
• 15:16
  die über VPN oder Express-Route verbunden sind,
• 15:18
  lösen diese die IP Ihres privaten Endpunkts
• 15:20
  nicht automatisch auf.
• 15:21
  Die private DNS-Zone ist mit Ihrem
• 15:23
  virtuellen Azure-Netzwerk verknüpft,
• 15:24
  nicht mit Ihren lokalen DNS-Servern.
• 15:26
  Sie müssen eine DNS-Weiterleitung einrichten
• 15:28
  oder Azure-DNS-Private-Resolver nutzen,
• 15:30
  damit diese Abfragen die private Zone erreichen.
• 15:32
  Viele übersehen dies und wundern sich dann,
• 15:33
  warum Ihre lokalen Anwendungen
• 15:34
  keine Verbindung herstellen können.
• 15:36
  Außerdem funktionieren private Endpunkte
• 15:37
  nicht einfach so regionenübergreifend.
• 15:39
  Wenn Ihr virtuelles Netzwerk in West-Europe liegt
• 15:41
  und Sie einen privaten Endpunkt
• 15:42
  für ein Speicherkonto in East-US erstellen,
• 15:44
  funktioniert das nicht.
• 15:45
  Der private Endpunkt muss in derselben Region
• 15:47
  wie das virtuelle Netzwerk liegen.
• 15:48
  Der Paar S-Dienst kann in einer anderen Region sein,
• 15:50
  aber der Endpunkt selbst
• 15:51
  muss der Region des V-Net entsprechen.
• 15:53
  Planen Sie entsprechen.
• 15:53
  Noch eine Sache.
• 15:56
  Netzwerksicherheitsgruppen wirken sich
• 15:57
  auf die NIC des privaten Endpunkts aus.
• 15:59
  Der private Endpunkt erstellt
• 16:00
  eine virtuelle NICS in Ihrem Subnetz.
• 16:01
  Diese Netsie unterliegt denselben NSG-Regeln
• 16:03
  wie alles andere in diesem Subnetz.
• 16:06
  Wenn Sie den Datenverkehr zum NICS-Subnetz blockieren,
• 16:08
  funktioniert der Endpunkt nicht.
• 16:09
  Stellen Sie sicher,
• 16:09
  dass Ihre NSG-Rienis zulassen.
• 16:10
  Dann können Sie den D- Double-Schmel integri associated with
• 16:13
  das Eiwein.
• 16:14
  Ungefijds terrible.
• 16:15
  Bubble-Sp Bag.
• 16:16
  Bis zum nächsten Mal.
• 16:16
  Da wird eine Sschle Luther