Latest / M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano / Azure Private Link spiegato: endpoint privati invece dell’accesso pubblico a Storage, SQL e altri servizi (Doppiaggio IA)

Transcript

Azure Private Link spiegato: endpoint privati invece dell’accesso pubblico a Storage, SQL e altri servizi (Doppiaggio IA) · M365.FM – Podcast su Microsoft 365, Copilot e IA in italiano

• 0:00
  Pronti per dieci giorni di Microsoft 365, Copilot, AI, Azure e le persone che plasmano il futuro del lavoro, F.
• 0:07
  Questo gennaio, M3Tense 65 con è tornata e puntiamo ancora più in alto.
• 0:12
  Unitevi a noi per sessioni dal vivo, demo reali e conoscenze pratiche da MVP ed esperti del settore in tutto il mondo.
• 0:18
  Niente slide generiche, niente parole d'ordine infinite.
• 0:22
  Affronteremo le sfide reali.
• 0:23
  Copilot Studio, agenti AI, Fabric, sicurezza, governance e automazione.
• 0:28
  Che siate professionisti IT, sviluppatori o leader aziendali, ci sono sessioni pensate per voi.
• 0:35
  Con dieci giorni interi potrete esplorare svariate tecnologie e connettervi con una comunità globale.
• 0:40
  Seguite dal vivo e portate intuizioni pratiche nella vostra organizzazione.
• 0:45
  Gennaio 2027, dieci giorni, un'unica comunità, Microsoft.
• 0:49
  Le iscrizioni sono aperte.
• 0:51
  Andate su m365.com.net e assicuratevi il vostro posto oggi stesso.
• 0:55
  m365.com.net
• 0:58
  Iscrivetevi ora su m365.com.net
• 1:03
  Benvenuti a un altro episodio delle pillole di conoscenza Microsoft qui su m365.fm.
• 1:09
  Sono il vostro ospite Mirko Pirozzi.
• 1:10
  L'argomento di oggi è uno che quasi tutti hanno sentito nominare ma che pochi sanno spiegare chiaramente.
• 1:14
  Azure Private Link.
• 1:15
  Probabilmente avete visto l'opzione configurando un account di archiviazione a un database SQL.
• 1:19
  Ma cosa fa davvero?
• 1:20
  Ne avete davvero bisogno?
• 1:22
  Ecco cosa la maggior parte delle persone sbagliano.
• 1:23
  Presumono che poiché il servizio gira dentro Azure sia automaticamente privato, che sia isolato da internet di default.
• 1:29
  Non è vero, nemmeno per sogno.
• 1:33
  Molti servizi Azure Paa, S, Storage, SQL e Key Vault arrivano con un endpoint pubblico sin da subito.
• 1:38
  Ciò significa che chiunque su internet può raggiungerli se ha l'URL e le credenziali corrette.
• 1:43
  Alla fine di questo episodio capirete cos'è davvero Private Link, perché esiste e come mantiene il vostro traffico fuori da web pubblico.
• 1:50
  Lo analizzeremo usando semplici analogie.
• 1:52
  Niente fronzoli di marketing, niente gergo, solo spiegazioni chiare sul vecchio metodo.
• 1:56
  Endpoint, pubblici, ovunque.
• 1:58
  Iniziamo dal problema.
• 1:59
  Prima dell'esistenza di Private Link, ogni servizio Azure Pass riceveva un endpoint pubblico per impostazione predefinita.
• 2:04
  Create un account di archiviazione e Azure vi dà qualcosa come il mio account storage.gob.core.core.windows.net.
• 2:10
  Quell'URL risolve in un indirizzo IP pubblico.
• 2:13
  Chiunque abbia accesso a internet può provare a connettersi.
• 2:15
  Ora, immaginate di avere una macchina virtuale all'interno della vostra rete virtuale azzurra.
• 2:19
  Quella VM deve leggere dei file allo storage blob.
• 2:22
  Pensate che il traffico resti dentro l'Azure, giusto?
• 2:24
  Entrambe le risorse sono nello stesso cloud.
• 2:26
  Ma non è così che funziona.
• 2:27
  La macchina virtuale deve lasciare la tua rete virtuale, passare attraverso la rete internet pubblica
• 2:31
  e poi rientrare in Azure per raggiungere quell'account di archiviazione.
• 2:33
  È come se ti trovassi in una stanza di un ufficio e avessi bisogno di prendere qualcosa dallo sgabuzzino nello stesso edificio.
• 2:39
  Ma invece di percorrere il corridoio, devi uscire e fare il giro dell'isolato e rientrare da un'altra porta.
• 2:44
  Non ha alcun senso, ma è esattamente quello che stava succedendo.
• 2:46
  Questo è un problema reale.
• 2:47
  I tuoi dati viaggiano su internet pubblico, anche se entrambe le risorse si trovano all'interno dei data center di Microsoft.
• 2:53
  Il traffico è crittografato, certo, ma rimane comunque esposto alla rete internet aperta.
• 2:56
  Passa ancora attraverso router e switch che non puoi controllare.
• 3:00
  Se qualcuno riuscisse a intercettare quel traffico, potrebbe vedere cosa stai inviando.
• 3:04
  C'è un mito comune a riguardo.
• 3:05
  Molte persone pensano, beh, è nella mia sottoscrizione e quindi è privato.
• 3:08
  Non è così che funziona.
• 3:10
  La tua sottoscrizione è un confine di fatturazione e gestione.
• 3:12
  Per impostazione predefinita, i tuoi servizi azzurri sono raggiungibili da in.
• 3:16
  L'unica cosa che li protegge è il livello di autenticazione e autorizzazione, le chiavi, le password, le regole del firewall.
• 3:22
  Ma il percorso di rete in sé è pubblico.
• 3:24
  Così Microsoft ha esaminato la situazione e ha detto che deve esserci un modo migliore.
• 3:26
  E l'ha costruito.
• 3:27
  L'hanno chiamato PrivateLink.
• 3:29
  La soluzione è un endpoint privato come scheda di interfaccia di rete.
• 3:33
  In generale, ma l'elemento fondamentale da capire è l'endpoint privato.
• 3:37
  Una scheda di interfaccia di rete virtuale o NIC che si trova all'interno della tua rete virtuale e si collega a un servizio PaaS.
• 3:44
  E come funziona?
• 3:45
  Crea un endpoint privato per il tuo account di archiviazione.
• 3:48
  E Azure crea una NIC virtuale all'interno della tua rete virtuale con un IP privato proveniente dalla tua subnet.
• 3:53
  Quella NIC si collega all'account di archiviazione tramite PrivateLink nel back-end.
• 3:57
  Quindi dal punto di vista della tua VM, l'account di archiviazione ora sembra risiedere all'interno della tua rete con un IP privato,
• 4:03
  proprio come qualsiasi altra risorsa.
• 4:06
  Quando la tua VM invia traffico a quell'account di archiviazione,
• 4:09
  raggiunge l'IP privato della NIC e viaggia sulla rete dorsale di Microsoft, ma è su internet pubblico.
• 4:14
  Non lascia mai l'infrastruttura interna di Azure.
• 4:16
  Pensalo come a quel corridoio sicuro nell'edificio dell'ufficio.
• 4:19
  Invece di camminare fuori e fare il giro dell'isolato, percorri semplicemente il corridoio fino allo sgabuzzino.
• 4:23
  Connessione diretta, nessuna deviazione.
• 4:26
  Ecco una sfumatura che molti trascurano.
• 4:27
  L'attivazione di un endpoint privato non disattiva automaticamente l'endpoint pubblico.
• 4:32
  Possono coesistere entrambi contemporaneamente.
• 4:34
  Se crei un endpoint privato ma non modifichi le impostazioni dell'endpoint pubblico,
• 4:37
  il tuo account di archiviazione rimane raggiungibile da internet.
• 4:40
  Devi disabilitare esplicitamente l'accesso alla rete pubblica per bloccarlo completamente.
• 4:43
  Molti pensano che creare l'endpoint privato sia sufficiente.
• 4:46
  No.
• 4:46
  Devi dire ad Azure che vuoi solo l'accesso privato.
• 4:49
  Lascia che chiarisca un altro mito mentre ci siamo.
• 4:51
  PrivateLink non è la stessa cosa di una VPN o di ExpressRoute.
• 4:54
  Risolvono problemi diversi e approfondiremo questo confronto più avanti.
• 4:57
  Per ora sappi solo che PrivateLink serve ad accedere a uno specifico servizio,
• 5:01
  non a connettere l'intera rete ad Azure.
• 5:03
  Quindi hai il tuo endpoint privato e la tua VM può raggiungere l'account di archiviazione
• 5:06
  tramite l'IP privato.
• 5:08
  Ma come fa la tua VM a trovare effettivamente quella archiviazione?
• 5:10
  In precedenza risolveva l'URL pubblico in un IP pubblico.
• 5:13
  Ora ha bisogno di un IP privato.
• 5:15
  Come funziona?
• 5:15
  È qui che entra in gioco il DNS ed è quello che vedremo in seguito.
• 5:19
  Il DNS è l'ingrediente segreto che fa funzionare tu.
• 5:22
  Hai il tuo endpoint privato e la tua VM può raggiungere
• 5:24
  l'account di archiviazione tramite un IP privato.
• 5:26
  Ma ecco il punto, la tua VM non conosce quell'IP.
• 5:30
  Conosce l'URL dell'account di archiviazione,
• 5:32
  qualcosa come il mio account di archiviazione,
• 5:33
  blob.core.windows.net.
• 5:35
  È il nome che usa per connettersi.
• 5:37
  Quindi come trova l'IP privato invece di quello pubblico?
• 5:39
  È qui che il DNS svolge il lavoro pesante.
• 5:41
  Quando crei un endpoint privato e scegli di integrarlo con una zona DNS privata,
• 5:45
  cosa che dovresti fare?
• 5:46
  Azure ne crea uno automaticamente per te.
• 5:48
  Azure.
• 5:48
  Per un account di archiviazione blob,
• 5:50
  quella zona si chiama PrivateLink.
• 5:51
  blob.core.windows.net.
• 5:53
  All'interno di quella zona,
• 5:54
  Azure aggiunge un record A che mappa il nome del tuo account di archiviazione
• 5:57
  all'IP privato dell'empo.
• 5:58
  Ora ecco la parte intelligente.
• 6:00
  L'URL pubblico originale viene ancora risolto,
• 6:02
  ma invece di restituire direttamente un IP pubblico,
• 6:04
  restituisce un record CNAME che punta alla zona privata.
• 6:07
  Quindi la catena di risoluzione funziona.
• 6:09
  La tua VM richiede l'URL dell'account di archiviazione
• 6:11
  e DNS restituisce un CNAME che punta al mio account di archiviazione.
• 6:14
  PrivateLink.blog.core.windows.net
• 6:17
  che risiede nella zona DNS privata collegata alla tua rete virtuale.
• 6:20
  DNS lo risolve nell'IP privato,
• 6:22
  la tua VM si connette a quell'IP privato,
• 6:24
  il traffico non tocca mai,
• 6:25
  la rete è internet pubblica.
• 6:27
  Immaginano come il banco della reception in un ufficio.
• 6:30
  Qualcuno entra e chiede lo sgabuzzino
• 6:31
  e l'addetto alla reception non lo manda fuori.
• 6:34
  Indica il corridoio corretto all'interno.
• 6:36
  La zona DNS privata è come un addetto alla reception
• 6:38
  che reindirizza il traffico verso la destinazione corretta
• 6:40
  senza uscire dall'edificio.
• 6:41
  Il funzionamento dipende da dove si trova la tua VM.
• 6:43
  Se si trova nella stessa rete virtuale dell'endpoint privato,
• 6:46
  la zona DNS privata è collegata
• 6:47
  e la risoluzione avviene automaticamente.
• 6:49
  Se si trova in una rete con peering,
• 6:51
  devi collegare la zona anche a quella rete.
• 6:53
  Per le macchine on premise tramite VPN o ExpressRoute
• 6:55
  la procedura è più complessa.
• 6:57
  Di solito si configura un DNS forward
• 6:58
  a rosso usaggio DNS private resolver
• 7:00
  per assicurarsi che le query ragionano la zona privata.
• 7:02
  Tuttavia, per la maggior parte degli scenari in Azo
• 7:04
  le operazioni di base sono gestite automaticamente.
• 7:07
  DNS può diventare complesso in ambienti grandi,
• 7:09
  ma nel caso standard, con un AVM,
• 7:10
  nella stessa rete virtuale dell'endpoint privato,
• 7:12
  Azo gestisce tutto in automatico.
• 7:15
  Non devi toccare nulla.
• 7:16
  Vediamolo in azione con un esempio reale.
• 7:18
  Procedura guidata nel mondo reale.
• 7:19
  Private link con l'archiviazione Azo.
• 7:21
  Rendiamolo concreto.
• 7:22
  Immagina di avere una macchina virtuale
• 7:24
  in esecuzione all'interno della tua rete virtuale Azo.
• 7:26
  Quella VM deve recuperare dei file
• 7:28
  da un account di archiviazione blog di Azo.
• 7:30
  È una configurazione comune.
• 7:31
  Magari un'app che archivi e caricamenti degli utenti
• 7:33
  o un processo di elaborazione dati che legge da un container.
• 7:36
  Senza private link ecco cosa succede.
• 7:37
  La tua VM cerca l'url pubblico dell'account di archiviazione
• 7:40
  e ottiene un indirizzo IP pubblico.
• 7:42
  Il traffico lascia la tua rete virtuale,
• 7:43
  esce su internet pubblico e poi rientra in Azo per raggiungere
• 7:46
  l'account di archiviazione.
• 7:47
  Questo viaggio di andata ritorno non è necessario.
• 7:49
  Entrambi le risorse sono già in Azo ma
• 7:51
  i dati fanno comunque una deviazione attraverso internet.
• 7:53
  Con private link distribuisce un endpoint privato
• 7:55
  per la sottorisorsa blog dell'account di archiviazione.
• 7:58
  È la parte specifica che gestisce i dati blog.
• 8:00
  Azo crea una scheda di rete virtuale
• 8:02
  nella tua rete virtuale con un IP privato,
• 8:04
  configura la zona DNS privata
• 8:05
  e si attiva l'intera catena di risoluzione DNS
• 8:07
  di cui abbiamo parlato.
• 8:08
  Ora quando la tua VM risolve lo stesso URL
• 8:11
  misterageaccount.bob.corro.windows.net
• 8:13
  ottiene l'IP privato invece di quello pubblico.
• 8:15
  Il traffico fluisce dalla VM all'endpoint privato
• 8:18
  poi attraverso la rete backbone di Microsoft
• 8:20
  fino all'account di archiviazione
• 8:22
  non lascia mai la rete interna di Azure.
• 8:25
  Ecco il punto fondamentale.
• 8:26
  La tua applicazione non cambia.
• 8:27
  Nessuno modifica le stringhe di connessione
• 8:29
  e nessun aggiornamento dei file di configurazione.
• 8:30
  L'URL rimane lo stesso.
• 8:32
  L'unica cosa che cambia è il modo in cui quell'URL risolve.
• 8:34
  Dal punto di vista dell'app
• 8:35
  ci si sta ancora connettendo allo stesso account di archiviazione
• 8:37
  ma dietro le quinte il percorso del traffico è completamente diverso.
• 8:40
  Se vuoi fare un passo ulteriore
• 8:42
  puoi disabilitare completamente l'endpoint pubblico.
• 8:44
  Ciò significa che il tuo account di archiviazione
• 8:46
  è raggiungibile solo tramite l'end privato.
• 8:48
  Nessuna esposizione su internet.
• 8:49
  Nessuno può neanche tentare di connettersi dall'esterno.
• 8:51
  Un'altra cosa che vale la pena notare.
• 8:53
  Gli account di archiviazione hanno più sottorisorse.
• 8:55
  Blob è una ma ci sono anche file, tabelle e code.
• 8:57
  Ognuno può avere il proprio un privato.
• 9:00
  Potresti averne uno per il traffico blob
• 9:01
  e uno separato per il traffico file.
• 9:03
  Oppure usare un singolo endpoint che li copra tutti
• 9:05
  a seconda delle tue esigenze.
• 9:06
  Ora potresti chiederti in che modo differisce
• 9:08
  dalle altre opzioni di commettività a Zoom.
• 9:10
  VPN, ExpressRoute, Endpoint di servizio.
• 9:12
  Sembrano tutti simili.
• 9:13
  Facciamo chiarezza.
• 9:14
  PrivateLink contro VPN contro ExpressRoute
• 9:16
  contro Endpoint servizio.
• 9:18
  Quindi come si confronta PrivateLink
• 9:19
  con VPN, ExpressRoute ed Endpoint di servizio?
• 9:22
  Sembrano tutti fare la stessa cosa
• 9:23
  ma in realtà risolvono problemi diversi.
• 9:25
  In molti casi li useresti insieme.
• 9:27
  Partiamo dalla VPN.
• 9:28
  Una rete privata virtuale collega
• 9:30
  la tua rete locale ad Azure tramite internet pubblico.
• 9:33
  Crea un tunnel crittografato tra la tua sede e Azure.
• 9:36
  Il traffico è crittografato, certo,
• 9:37
  ma viaggia comunque su internet pubblico.
• 9:40
  Il tunnel è sicuro ma la strada su cui si trova è pubblica.
• 9:42
  PrivateLink non sostituisce la VPN.
• 9:44
  Lavora al suo fianco.
• 9:45
  Potresti usare una VPN per collegare il tuo ufficio ad Azure.
• 9:48
  Puoi usare PrivateLink per accedere al tuo account
• 9:50
  di archiviazione privatamente da quella connessione.
• 9:52
  ExpressRoute è diverso.
• 9:53
  Ti offre un circuito privato dedicato dal tuo datacenter ad Azure.
• 9:57
  Traffico non tocca mai internet pubblico.
• 9:59
  È come avere la tua strada privata direttamente nella rete di Microsoft.
• 10:02
  Michael Punt.
• 10:03
  ExpressRoute da solo non ti dà accesso privato ai servizi PaaS.
• 10:06
  Collega la tua rete ad Azure
• 10:07
  ma il tuo account di archiviazione è ancora un endpoint pubblico.
• 10:10
  Dovresti combina ExpressRoute con PrivateLink
• 10:12
  per ottenere un vero accesso privato a quei servizi.
• 10:15
  Gli endpoint di servizio sono una tecnologia più datata.
• 10:17
  Permettono di limitare l'accesso a un servizio a Azure
• 10:19
  in modo che solo il traffico dalla tua rete virtuale possa raggiungerlo.
• 10:21
  Ma ecco la questione.
• 10:22
  Il servizio è ancora un endpoint pubblico.
• 10:24
  Stai solo aggiungendo una regola Firewall che dice
• 10:26
  consenti solo il traffico da questa v-net.
• 10:28
  L'endpoint stesso è ancora esposto a internet.
• 10:31
  PrivateLink è più sicuro perché
• 10:32
  l'endpoint è veramente all'interno della tua v-net
• 10:34
  e ha un IP privato.
• 10:36
  Non c'è un end pubblico da attaccare.
• 10:37
  Lascia che ti dà un modo semplice per pensare.
• 10:39
  La VPN è un tunnel sicuro attraverso una strada pubblica.
• 10:41
  ExpressRoute è una strada privata che va dritta da giù.
• 10:43
  Gli endpoint di servizio sono una guardia a cancello pubblico
• 10:45
  che controlla i documenti.
• 10:46
  PrivateLink è un corridoio diretto all'interno dell'edificio.
• 10:49
  Non esci mai all'esterno.
• 10:51
  Quindi quale dovresti usare?
• 10:52
  Dipende.
• 10:53
  Per collegare il tuo ufficio ad Azure
• 10:54
  le tue opzioni sono VPN o ExpressRoute.
• 10:57
  Per accedere ai servizi Paese in modo privato
• 10:59
  PrivateLink è lo standard di riferimento.
• 11:01
  E per la massima sicurezza combinali.
• 11:03
  ExpressRoute per portare il tuo traffico in Azure privatamente
• 11:05
  poi PrivateLink per accedere ai tuoi servizi in modo privato da lì.
• 11:08
  Ma PrivateLink non è solo per i servizi Microsoft.
• 11:11
  Puoi usarlo anche per le tue applicazioni
• 11:12
  grazie al servizio PrivateLink che ospita i tuoi endpoint privati?
• 11:16
  Ecco qualcosa che sfugge a molti.
• 11:18
  PrivateLink non serve solo a consumare servizi Azure.
• 11:21
  Puoi usarlo anche per esporre le tue applicazioni al mondo.
• 11:24
  È esattamente per questo che è stato creato il servizio PrivateLink.
• 11:26
  Immagina di essere un fornitore sasso.
• 11:28
  Hai un'applicazione in esecuzione su macchine virtuali
• 11:30
  dietro un load balancer standard
• 11:31
  a cui accedono i tuoi clienti.
• 11:33
  Tradizionalmente avevi due opzioni.
• 11:34
  Esporre tutto a internet e configurare
• 11:36
  una VPN tra la tua rete e la loro.
• 11:38
  Presentano grandi svantaggi.
• 11:39
  L'esposizione pubblica ti espone a rischi di sicurezza
• 11:42
  e le VPN sono complesse da gestire e mantenere.
• 11:45
  Il servizio PrivateLink risolve questo problema.
• 11:47
  Crea il servizio, lo colleghi al tuo load balancer standard
• 11:49
  e i tuoi clienti possono creare un endpoint privato
• 11:52
  nella loro rete virtuale.
• 11:53
  Quell'endpoint si collega direttamente al tuo servizio.
• 11:55
  Nessun peering, nessuna VPN
• 11:57
  e assolutamente nessuna esposizione pubblica.
• 11:59
  Il traffico viaggia dal loro endpoint privato
• 12:00
  attraverso il backbone Microsoft direttamente al tuo servizio.
• 12:03
  Non tocca mai internet.
• 12:05
  Il tuo servizio ottiene un alias univoco a livello globale
• 12:07
  a qualcosa come myapp.git.region.azure.privatelinkservice.
• 12:11
  Quell'alias è ciò che i clienti usano per connettersi
• 12:13
  e tu hai il pieno controllo su chi può vederlo.
• 12:16
  Puoi limitare la visibilità tramite ruoli, airbags,
• 12:18
  autoscrizioni specifiche
• 12:19
  o permettere a chiunque abbia l'alias di richiedere una connessione.
• 12:22
  Ogni richiesta di connessione arriva a te per l'approvazione manuale
• 12:24
  così sai sempre esattamente chi si sta connettendo.
• 12:26
  Per i fornitori SaaS questo è un cambiamento enorme.
• 12:28
  Invece di aprire le regole del firewall
• 12:30
  o gestire complesse configurazioni VPN
• 12:32
  dai semplicemente l'alias al tuo cliente.
• 12:34
  Loro creano un endpoint privato, tu lo approvi
• 12:36
  e il gioco è fatto.
• 12:38
  Una limitazione però.
• 12:40
  Servizio PrivateLink funziona solo con load balancer standard, non basic.
• 12:43
  Se utilizzi ancora un load balancer basic
• 12:44
  dovrai prima eseguire la giornata.
• 12:46
  È un piccolo prezzo da pagare per la sicurezza
• 12:47
  e la semplicità che ottieni in cambio.
• 12:49
  Ora, tutta questa sicurezza sembra fantastica
• 12:51
  ma cosa significa realmente per le tue esigenze di conformità
• 12:53
  e per il tuo pagino?
• 12:54
  Considerazioni su sicurezza, conformità e cost.
• 12:56
  Parliamo di cosa significa davvero PrivateLink
• 12:58
  per i tuoi requisiti di conformità
• 12:59
  e per il tuo portafoglio.
• 13:01
  Innanzitutto, l'aspetto della sicurezza.
• 13:02
  PrivateLink riduce la tua superficie di attacco
• 13:04
  eliminando completamente gli endpoint pubblici.
• 13:06
  Questo è il vantaggio principale.
• 13:07
  Invece di un account di archiviazione
• 13:09
  o un database SQL raggiungibili ovunque su internet
• 13:11
  hai una risorsa che risponde solo al traffico
• 13:13
  proveniente dalla tua rete virtuale.
• 13:14
  Nessun IP pubblico da scansionare
• 13:16
  e nessuna porta aperta da sola.
• 13:17
  La superficie di attacco si riduce drasticamente.
• 13:19
  Ecco un altro vantaggio che non riceve abbastanza attenzione
• 13:21
  alla prevenzione della fuga di dati.
• 13:22
  Ogni endpoint privato mappa una specifica istanza di risorsa.
• 13:25
  Non ogni intero servizio,
• 13:26
  non ogni account di archiviazione nel tuo bonomento.
• 13:29
  Solo quello.
• 13:29
  Quindi se qualcuno compromette un carico di lavoro
• 13:31
  nella tua rete virtuale
• 13:32
  non puoi usare quel endpoint privato
• 13:34
  per raggiungere altri account di archiviazione.
• 13:36
  Sono limitati all'unica risorsa che hai approvato.
• 13:38
  Per i team di sicurezza questo contenimento è fondamentale.
• 13:40
  Sul fronte della conformità PrivateLink soddisfa molti requisiti.
• 13:43
  Normative come IPA, GDPR, PCI
• 13:45
  richiedono spesso che i dati sensibili
• 13:47
  non viaggino mai su reti pubbliche.
• 13:49
  PrivateLink ti offre un modo chiaro per dimostrarlo.
• 13:52
  Il tuo traffico rimane sulla dorsale Microsoft
• 13:53
  e puoi mostrare i log di controllo dicendo
• 13:55
  Ecco la prova.
• 13:57
  Per i settori regolamentati
• 13:58
  questo da solo può giustificare l'investimento.
• 14:00
  Ora parliamo dei costi
• 14:01
  perché è qui che le persone rimangono sorprese.
• 14:03
  PrivateLink non è gratuito.
• 14:04
  Paghi una tariffa oraria per ogni endpoint privato
• 14:06
  più le commissioni di elaborazione dati
• 14:08
  per il traffico che vi transita.
• 14:09
  A seconda dell'utilizzo
• 14:10
  può essere da due a tre volte più costoso
• 14:12
  dell'uso di un endpoint pubblico
• 14:13
  con regole firewall.
• 14:15
  Si accumula rapidamente
• 14:16
  specialmente se hai multi-endpoint.
• 14:18
  Quindi ecco un parere onesto.
• 14:19
  PrivateLink non è sempre la scelta giusta.
• 14:21
  Si gestisce un ambiente di sviluppo
• 14:22
  test senza dati sensibili
• 14:24
  gli endpoint pubblici
• 14:25
  con le giuste regole firewall
• 14:26
  probabilmente bastano.
• 14:28
  Se ospiti un sito web pubblico
• 14:29
  destinato all'accesso da internet
• 14:30
  PrivateLink non ti aiuta.
• 14:32
  Ma per i carichi di lavoro di produzione
• 14:34
  in settori regolamentati
• 14:35
  finanza, sanità, governo
• 14:36
  PrivateLink è spesso obbligatorio.
• 14:38
  È il prezzo da pagare
• 14:39
  per operare in modo sicuro.
• 14:40
  Ora prima di implementarlo
• 14:41
  ci sono alcuni insidi
• 14:41
  a cui prestare attenzione.
• 14:43
  Insidi nell'implementazione.
• 14:44
  Cosa sfugge ai principi anni?
• 14:46
  Lascia che ti risparmi qualche grata.
• 14:47
  Ecco gli errori più comuni
• 14:48
  che le persone commettono
• 14:49
  quando configurano PrivateLink
• 14:50
  per prima cosa
• 14:51
  devi disabilitare
• 14:52
  l'endpoint pubblico
• 14:53
  dopo aver creato quello privato.
• 14:55
  Questa è l'insidia più grande.
• 14:56
  Molti creano l'endpoint privato
• 14:57
  e pensano che basti
• 14:58
  ma non è così.
• 15:00
  Endpoint pubblico
• 15:00
  rimane attivo
• 15:01
  per impostazione predefinita
• 15:02
  che significa che il traffico
• 15:03
  può ancora passare su internet.
• 15:04
  Devi andare nelle impostazioni di rete
• 15:06
  e disattivare esplicitamente
• 15:07
  l'accesso alla rete pubblica.
• 15:08
  Se salti questo passaggio
• 15:09
  non hai effettivamente protetto nulla.
• 15:11
  Inoltre la risoluzione DNS
• 15:12
  per i client on-premises
• 15:13
  richiede una configurazione EXT.
• 15:15
  Se hai macchine in ufficio
• 15:16
  che si collegano tramite VPN
• 15:17
  e ExpressRoute
• 15:18
  non risolveranno automaticamente
• 15:19
  l'IP del tuo endpoint privato
• 15:21
  la zona DNS privata
• 15:22
  è collegata alla tua rete virtuale a Azure
• 15:24
  non hai i tuoi server DNS on-premises
• 15:26
  devi configurare un forwarder DNS
• 15:28
  o usare Azure DNS private resolver
• 15:30
  per far arrivare quelle query
• 15:31
  alla zona privata.
• 15:32
  Molte persone trascurano questo aspetto
• 15:33
  e si chiedono perché
• 15:34
  le loro app on-premises
• 15:35
  non riescono a connettere.
• 15:36
  Inoltre gli endpoint privati
• 15:37
  non funzionano magicamente
• 15:38
  tra regioni diverse.
• 15:39
  Se la tua rete virtuale
• 15:40
  in West Europe
• 15:40
  e crea un endpoint privato
• 15:42
  per un account di archiviazione
• 15:43
  in East US
• 15:43
  non funzionerà.
• 15:44
  Non funzionerà.
• 15:45
  L'endpoint privato
• 15:46
  deve trovarsi
• 15:47
  nella stessa regione
• 15:47
  della rete virtuale.
• 15:48
  Il servizio PaaS
• 15:49
  può essere una regione diversa
• 15:50
  ma l'endpoint deve corrispondere
• 15:51
  alla regione della binetta.
• 15:53
  Pianifica di conseguenza.
• 15:54
  Un'ultima cosa.
• 15:55
  I gruppi di sicurezza di rete
• 15:56
  influenzano la scheda di rete
• 15:57
  dell'endpoint privato.
• 15:59
  L'endpoint privato
• 15:59
  crea una scheda di rete virtuale
• 16:00
  nella tua subnet.
• 16:01
  Quella scheda di rete
• 16:02
  è soggetta alle stesse regole NSG
• 16:03
  di qualsiasi altra cosa
• 16:04
  in quella subnet.
• 16:05
  Se blocchi il traffico
• 16:06
  verso la subnet
• 16:07
  della scheda di rete
• 16:08
  l'endpoint non funzionerà.
• 16:09
  Assicurati che le tue regole NSG
• 16:10
  consente del traffico
• 16:11
  Grazie a tutti.