WEBVTT

00:00:00.140 --> 00:00:07.500
Готові до 10-х днів Microsoft 365, Co-Pilot, She, Azure та людей, що формують майбутні роботи.

00:00:07.640 --> 00:00:12.320
Цього січня M365.com повертається, і ми стаємо ще масштабнішими.

00:00:12.480 --> 00:00:18.540
Приєднуйтесь до нас на живі сесії, реальні демонстрації та практичні знання від MVP та експертів галузі з усього світу.

00:00:18.540 --> 00:00:21.880
Жодних загальних слайдів, жодних нескінчених модних слів.

00:00:22.020 --> 00:00:29.120
Ми розглядаємо реальні виклики Co-Pilot Studio, She-агенти, Fabric, безпека, управління та автоматизація.

00:00:29.120 --> 00:00:35.000
Незалежно від того, чи ви IT-фахівець, розробник або бізнес-лідер, для вас знайдуться підходящі сесії.

00:00:35.180 --> 00:00:40.660
Протягом 10 повних днів ви можете дослідити безліч технологій та поспілкуватися з глобальною спільнотою.

00:00:40.880 --> 00:00:44.620
Дивіться наживо та приносте практичні ідеї у свою організацію.

00:00:44.620 --> 00:00:50.900
Січень 2027 – 10 днів, одна спільнота Microsoft. Реєстрація вже відкрита.

00:00:51.440 --> 00:00:56.220
Зайдіть на M365.com.net і забронюйте своє місце вже сьогодні.

00:00:56.220 --> 00:00:59.080
Це M365.com.net

00:00:59.080 --> 00:01:04.720
Приєднуйтесь зараз на M365.com.net і побачимося наживо в січні.

00:01:04.860 --> 00:01:08.720
Ласкаво просимо до чергового епізоду Microsoft Knowledge Nuggets на M365.

00:01:08.900 --> 00:01:10.800
З вами ваш ведучий Мірко Піроці.

00:01:10.800 --> 00:01:14.620
Тема сьогоднішнього випуску – те, про що чули майже всі, але мало хто може чітко пояснити.

00:01:14.760 --> 00:01:15.780
Azure Private Link.

00:01:15.980 --> 00:01:19.700
Ви, мабуть, бачили цю опцію під час налаштування облікового запису зберігання або бази даних SQL,

00:01:19.880 --> 00:01:21.840
але що вона насправді робить і чи дійсно вона вам потрібна?

00:01:21.840 --> 00:01:23.760
Ось у чому більшість людей помиляється.

00:01:23.980 --> 00:01:26.640
Вони припускають, що оскільки сервіс працює всередині Azure,

00:01:26.780 --> 00:01:30.160
він автоматично приватний і нібито за замовчуванням ізольований від інтернету.

00:01:30.300 --> 00:01:31.860
Це неправда, навіть близько.

00:01:32.240 --> 00:01:35.400
Більшість пас-сервісів Azure, як от сховище SQL, Key Vault,

00:01:35.400 --> 00:01:38.360
за замовчуванням постачаються з публічною кінцевою точкою.

00:01:38.500 --> 00:01:41.160
Це означає, що будь-хто в інтернеті може отримати до них доступ,

00:01:41.260 --> 00:01:43.500
якщо має правильну URL-адресу та облікові дані.

00:01:43.660 --> 00:01:46.780
До кінця цього епізоду ви зрозумієте, що таке Private Link насправді,

00:01:51.840 --> 00:01:52.720
простих аналогій.

00:01:52.880 --> 00:01:55.640
Без маркетингових прикрас, без жаргону, просто по суті.

00:01:55.820 --> 00:01:58.280
Старий підхід – публічні кінцеві точки всюди.

00:01:58.440 --> 00:01:59.580
Почнімо з проблеми.

00:01:59.720 --> 00:02:02.800
До появи Private Link кожен пас сервіс Azure за замовчуванням

00:02:02.800 --> 00:02:04.460
отримував публічну кінцеву точку.

00:02:04.460 --> 00:02:07.580
Ви створюєте обліковий запис зберігання, і Azure надає вам щось на кшталт

00:02:07.580 --> 00:02:10.240
MyStorage account blog.core.windows.net.

00:02:10.380 --> 00:02:12.740
Ця URL-адреса вказує на публічну IP-адресу.

00:02:12.900 --> 00:02:15.320
Будь-хто з доступом до інтернету може спробувати підключитися до неї.

00:02:15.320 --> 00:02:17.860
Тепер уявіть, що у вас є віртуальна машина, яка працює всередині

00:02:17.860 --> 00:02:19.220
вашої власної віртуальної мережі Azure.

00:02:19.380 --> 00:02:21.780
Цій VM потрібно прочитати деякі файли з блок сховища.

00:02:21.920 --> 00:02:24.220
Ви думаєте, що трафік залишиться всередині Azure правда?

00:02:24.400 --> 00:02:26.260
Обидва ресурси знаходяться в одній хмари.

00:02:26.420 --> 00:02:27.800
Але це працює зовсім не так.

00:02:27.880 --> 00:02:30.200
Віртуальна машина має вийти за межі вашої віртуальної мережі,

00:02:30.280 --> 00:02:32.440
пройти через публічний інтернет, а потім повернутися в Azure,

00:02:32.560 --> 00:02:34.320
щоб дістатися до облікового запису зберігання.

00:02:34.320 --> 00:02:36.720
Це ніби ви стоїте в одній кімнаті офісної будівлі,

00:02:36.760 --> 00:02:39.340
і вам потрібно взяти щось із комірчини в тій самій будівлі.

00:02:39.460 --> 00:02:41.000
Але замість того, щоб пройти коридором,

00:02:41.100 --> 00:02:44.040
ви змушені вийти на вулицю, обійти квартал і зайти через інші двері.

00:02:44.180 --> 00:02:46.300
Це не має сенсу, але саме це і відбувалося.

00:02:46.480 --> 00:02:47.660
Це справжня проблема.

00:02:47.900 --> 00:02:49.700
Ваші дані передаються через публічний інтернет,

00:02:49.820 --> 00:02:51.420
хоча обидва ресурси знаходяться всередині

00:02:51.420 --> 00:02:52.940
власних центрів обробки даних Microsoft.

00:02:53.140 --> 00:02:54.520
Цей трафік, звісно, зашифрований,

00:02:54.520 --> 00:02:56.720
але він усе одно відкритий для публічного інтернету.

00:02:56.840 --> 00:02:59.240
Він усе одно проходить через маршрути затори та комутатори,

00:02:59.320 --> 00:03:00.240
які ви не контролюєте.

00:03:00.400 --> 00:03:02.040
І якби хтось зміг перехопити цей трафік,

00:03:02.160 --> 00:03:03.900
він зміг би побачити, що ви надсилаєте.

00:03:04.060 --> 00:03:05.520
Тут існує поширений міф.

00:03:05.620 --> 00:03:07.680
Багато хто думає, ну, це в моїй підписці,

00:03:07.800 --> 00:03:08.720
отже, це приватно.

00:03:08.860 --> 00:03:09.940
Це працює не так.

00:03:10.140 --> 00:03:12.300
Ваша підписка – це межа для білінгу та керування,

00:03:12.300 --> 00:03:13.280
а не мережева межа.

00:03:13.420 --> 00:03:16.300
За замовчуванням, ваші сервіси Azure доступні з інтернету.

00:03:16.300 --> 00:03:19.820
Єдине, що їх захищає, – це рівень автентифікації та авторизації,

00:03:19.960 --> 00:03:21.860
ключі, паролі, правила брандмауера.

00:03:22.020 --> 00:03:23.800
Але сам мережевий шлях є публічним.

00:03:23.920 --> 00:03:25.620
Тому в Microsoft подивилися на це і сказали,

00:03:25.720 --> 00:03:26.680
має бути кращий спосіб.

00:03:26.820 --> 00:03:27.840
І вони створили його.

00:03:28.060 --> 00:03:29.540
Вони назвали це PrivateLink.

00:03:29.740 --> 00:03:32.520
Рішення – приватна кінцева точка як мережева карта.

00:03:32.820 --> 00:03:34.300
PrivateLink – це загальна служба,

00:03:34.300 --> 00:03:36.700
але основний елемент, який вам потрібно зрозуміти,

00:03:36.820 --> 00:03:39.920
це приватна кінцева точка – віртуальна мережева карта – NIC,

00:03:40.180 --> 00:03:42.540
що знаходиться всередині вашої віртуальної мережі

00:03:42.540 --> 00:03:44.160
та підключається до сервісу PASS.

00:03:44.300 --> 00:03:45.360
Ось як це працює.

00:03:45.540 --> 00:03:48.680
Ви створюєте приватну кінцеву точку для свого облікового запису зберігання,

00:03:48.800 --> 00:03:51.460
і Azure створює віртуальну NIC у вашій віртуальній мережі

00:03:51.460 --> 00:03:53.440
з приватною IP-адресою з вашої підмережі.

00:03:53.580 --> 00:03:56.080
Ця NIC підключається до облікового запису зберігання

00:03:56.080 --> 00:03:57.900
через PrivateLink на серверній стороні.

00:03:58.040 --> 00:03:59.740
Отже, з точки зору вашої віртуальної машини,

00:03:59.740 --> 00:04:01.500
обліковий запис зберігання тепер виглядає так,

00:04:01.600 --> 00:04:03.440
ніби він знаходиться всередині вашої власної мережі

00:04:03.440 --> 00:04:05.640
з приватною IP-адресою, як і будь-який інший ресурс.

00:04:05.720 --> 00:04:08.500
Коли ваша віртуальна машина надсилає трафік до цього облікового запису,

00:04:08.560 --> 00:04:10.360
він потрапляє на приватну IP-адресу NIC

00:04:10.360 --> 00:04:12.320
і передається через магістральну мережу Microsoft,

00:04:12.460 --> 00:04:13.920
ніколи не виходячи в публічний інтернет.

00:04:14.100 --> 00:04:16.560
Він ніколи не залишає внутрішню інфраструктуру Azure.

00:04:16.740 --> 00:04:19.220
Уявіть це як той безпечний коридор в офісній будівлі.

00:04:19.220 --> 00:04:21.660
Замість того, щоб виходити на вулицю і обходити квартал,

00:04:21.740 --> 00:04:23.560
ви просто йдете коридором прямо до комірчини.

00:04:23.560 --> 00:04:25.940
Пряме підключення жодних обхідних шляхів.

00:04:26.060 --> 00:04:28.200
А тепер нюанс, який багато хто пропускає.

00:04:28.360 --> 00:04:32.260
Увімкнення приватної кінцевої точки не вимикає публічну кінцеву точку автоматично.

00:04:32.480 --> 00:04:34.080
Вони можуть існувати одночасно.

00:04:34.240 --> 00:04:37.340
Якщо ви створите приватну кінцеву точку, але не зміните налаштування публічної,

00:04:37.440 --> 00:04:39.800
ваш обліковий запис зберігання залишиться доступним з інтернету.

00:04:39.800 --> 00:04:43.240
Ви повинні явно вимкнути доступ до публічної мережі, щоб повністю заблокувати його.

00:04:43.400 --> 00:04:46.020
Багато хто вважає, що створення приватної кінцевої точки – це все.

00:04:46.180 --> 00:04:46.780
Це не так.

00:04:46.940 --> 00:04:49.420
Ви повинні сказати «Ежур, я хочу лише приватний доступ».

00:04:49.420 --> 00:04:51.500
Дозвольте мені розвіяти ще один міф, поки ми тут.

00:04:51.660 --> 00:04:54.420
Private Link – це не те саме, що VPN або ExpressRoute.

00:04:54.620 --> 00:04:57.680
Вони вирішують різні завдання, і ми розглянемо це порівняння пізніше.

00:04:57.840 --> 00:05:00.960
Наразі просто знайте, Private Link призначений для доступу до конкретної служби,

00:05:00.960 --> 00:05:03.060
а не для підключення всієї вашої мережі до «Ежур».

00:05:03.060 --> 00:05:05.760
Отже, у вас є приватна кінцева точка, і ваша віртуальна машина може підключитися

00:05:05.760 --> 00:05:07.780
до облікового запису зберігання через приватну IP-адресу.

00:05:07.780 --> 00:05:10.480
Але як ваша віртуальна машина знаходить цей обліковий запис зберігання?

00:05:10.620 --> 00:05:13.320
Раніше вона перетворювала публічну URL-адресу на публічну IP-адресу.

00:05:13.440 --> 00:05:15.120
Тепер їй потрібна приватна IP-адреса.

00:05:15.260 --> 00:05:16.040
Як це працює?

00:05:16.200 --> 00:05:19.080
Саме тут на допомогу приходить DNS, і саме це ми розглянемо далі.

00:05:19.240 --> 00:05:21.840
DNS – це головний секрет, завдяки якому все це працює.

00:05:21.840 --> 00:05:24.620
У вас є приватна кінцева точка, і ваша віртуальна машина може підключитися

00:05:24.620 --> 00:05:26.780
до облікового запису зберігання через приватну IP-адресу.

00:05:26.780 --> 00:05:29.960
Але ось у чому річ – ваша віртуальна машина не знає цієї IP-адреси.

00:05:30.140 --> 00:05:33.240
Вона знає URL-адресу облікового запису зберігання, щось на кшталт MyStorage Account.

00:05:33.440 --> 00:05:37.160
blob.core.windows.net – це ім'я, яке вона використовує для підключення.

00:05:37.320 --> 00:05:39.680
Отже, як вона знаходить приватну IP-адресу замість публічної?

00:05:39.680 --> 00:05:41.920
Саме тут DNS бере на себе основну роботу.

00:05:42.080 --> 00:05:45.840
Коли ви створюєте приватну кінцеву точку і обираєте інтеграцію з приватною зоною DNS,

00:05:46.040 --> 00:05:48.520
що варто робити, Azure автоматично створює її для вас.

00:05:48.520 --> 00:05:51.720
Для облікового запису blob.сторадж ця зона називається PrivateLink.

00:05:51.900 --> 00:05:55.480
blob.core.windows.net – усередині цієї зони Azure додає і запис,

00:05:55.600 --> 00:05:58.820
який пов'язує ім'я вашого облікового запису зберігання з приватною IP-адресою кінцевої точки.

00:05:59.000 --> 00:06:00.120
А тепер найцікавіше.

00:06:00.120 --> 00:06:04.500
Оригінальна публічна URL-адреса все ще працює, але замість прямого повернення публічної IP-адреси

00:06:04.500 --> 00:06:07.060
вона повертає CNAMI-запис, що вказує на приватну зону.

00:06:07.160 --> 00:06:09.120
Отже, ланцюжок перетворення виглядає так.

00:06:09.120 --> 00:06:12.140
Ваша віртуальна машина запитує URL-адресу облікового запису зберігання,

00:06:12.260 --> 00:06:14.620
DNS повертає CNAMI, що вказує на MyStorage Account.

00:06:14.820 --> 00:06:19.180
PrivateLink.blog.core.windows.net, яка знаходиться в приватній зоні DNS,

00:06:19.300 --> 00:06:21.000
пов'язаній з вашою віртуальною мережею.

00:06:21.000 --> 00:06:23.340
DNS перетворює її на приватну IP-адресу,

00:06:23.420 --> 00:06:25.240
ваша віртуальна машина підключається до неї,

00:06:25.300 --> 00:06:27.340
і трафік ніколи не виходить у публічний інтернет.

00:06:27.500 --> 00:06:30.000
Уявіть, це як стійку реєстрації в офісній будівлі.

00:06:30.000 --> 00:06:31.840
Хтось заходить і запитує, де комора,

00:06:31.960 --> 00:06:34.000
а адміністратор не відправляє їх на вулицю.

00:06:34.160 --> 00:06:36.240
Він вказує їм правильний коридор всередині.

00:06:36.360 --> 00:06:38.200
Приватна зона DNS – це як адміністратор,

00:06:38.300 --> 00:06:39.860
що спрямовує трафік у потрібне місце,

00:06:39.940 --> 00:06:41.080
не виходячи за межі будівлі.

00:06:41.080 --> 00:06:43.980
Те, як це працює, залежить від розташування вашої віртуальної машини.

00:06:44.120 --> 00:06:45.440
Якщо вона в тій самій віртуальній мережі,

00:06:45.520 --> 00:06:47.980
що й приватна кінцева точка, зона DNS пов'язується автоматично,

00:06:48.060 --> 00:06:49.520
і вирішення імен відбувається саме собою.

00:06:49.520 --> 00:06:51.040
Якщо мережа підключена через піринг,

00:06:51.140 --> 00:06:53.300
вам потрібно зв'язати зону із цією піринговою мережею.

00:06:53.440 --> 00:06:56.080
Для локальних машин, підключених через VPN або ExpressRoute,

00:06:56.200 --> 00:06:57.020
усе трохи складніше.

00:06:57.200 --> 00:06:58.920
Зазвичай ви налаштовуєте DNS-форвардер

00:06:58.920 --> 00:07:00.920
або використовуєте Azure DNS Private Resolve,

00:07:01.060 --> 00:07:02.560
щоб запити доходили до приватної зони.

00:07:02.700 --> 00:07:04.720
Але для більшості сценаріїв у середині Azure

00:07:04.720 --> 00:07:06.480
основні речі вже налаштовані за вас.

00:07:06.660 --> 00:07:09.000
DNS може бути складним у великих середовищах,

00:07:09.120 --> 00:07:11.600
але в стандартному випадку, коли ВМ у тій самій мережі,

00:07:11.600 --> 00:07:14.180
щойкінцева точка, Azure робить усе автоматично.

00:07:14.360 --> 00:07:16.180
Вам взагалі не потрібно нічого чіпати.

00:07:16.400 --> 00:07:18.540
Давайте подивимося на це на реальному прикладі.

00:07:18.740 --> 00:07:19.700
Практичний огляд.

00:07:19.860 --> 00:07:21.440
Private Link з Azure Storage.

00:07:21.640 --> 00:07:23.000
Давайте зробимо це наочно.

00:07:23.180 --> 00:07:24.920
Припустимо, у вас є віртуальна машина

00:07:24.920 --> 00:07:26.420
у вашій віртуальній мережі Azure.

00:07:26.560 --> 00:07:28.000
Цій ВМ потрібно отримувати файли

00:07:28.000 --> 00:07:29.800
з облікового запису Azure Blob Storage.

00:07:29.980 --> 00:07:31.360
Це поширена конфігурація.

00:07:31.500 --> 00:07:33.580
Наприклад, програма, що зберігає завантаження користувачів

00:07:33.580 --> 00:07:34.620
або завдання з обробки даних,

00:07:34.700 --> 00:07:35.740
що зчитує їх із контейнера.

00:07:35.740 --> 00:07:37.800
Без Private Link усе відбувається ось так.

00:07:37.940 --> 00:07:39.580
Ваша ВМ шукає публічну URL-адресу

00:07:39.580 --> 00:07:40.680
облікового запису сховища

00:07:40.680 --> 00:07:42.080
та отримує публічну IP-адресу.

00:07:42.220 --> 00:07:43.980
Трафік залишає вашу віртуальну мережу,

00:07:44.120 --> 00:07:45.420
йде через публічний інтернет,

00:07:45.540 --> 00:07:47.700
а потім знову повертається в Azure до сховища.

00:07:47.840 --> 00:07:49.340
Це зайвий гак даних.

00:07:49.440 --> 00:07:50.680
Обидва ресурси вже в Azure,

00:07:50.860 --> 00:07:52.260
але дані все одно йдуть в обхід

00:07:52.260 --> 00:07:53.540
через відкритий інтернет.

00:07:53.740 --> 00:07:55.160
З Private Link ви розгортаєте

00:07:55.160 --> 00:07:56.240
приватну кінцеву точку

00:07:56.240 --> 00:07:58.000
для підресурсоблог вашого сховища.

00:07:58.000 --> 00:07:58.980
Це саме та частина,

00:07:59.140 --> 00:08:01.060
яка відповідає за роботу з даними BLOB.

00:08:01.200 --> 00:08:02.880
Azure створює віртуальну мережеву карту

00:08:02.880 --> 00:08:04.340
у вашій мережі з приватною IP,

00:08:04.520 --> 00:08:06.120
налаштовує приватну DNS-зону

00:08:06.120 --> 00:08:07.980
і запускається ланцюжок вирішення імен,

00:08:08.080 --> 00:08:08.900
про який ми говорили.

00:08:09.020 --> 00:08:10.300
Тепер, коли ваша ВМ звертається

00:08:10.300 --> 00:08:11.620
до тієї самої URL-адреси,

00:08:11.720 --> 00:08:14.260
майстора jackand.blog.core.windows.нет,

00:08:14.380 --> 00:08:16.140
вона отримує приватну IP замість публічної.

00:08:16.260 --> 00:08:18.900
Трафік іде від ВМ до приватної кінцевої точки,

00:08:19.100 --> 00:08:22.260
а потім магістральною мережею Microsoft до сховища.

00:08:22.260 --> 00:08:24.720
Він ніколи не залишає внутрішню мережу Azure.

00:08:24.860 --> 00:08:25.880
Ось ключовий момент.

00:08:26.080 --> 00:08:27.440
Ваш застосунок не змінюється.

00:08:27.600 --> 00:08:28.920
Не треба змінювати рядки, підключення

00:08:28.920 --> 00:08:30.220
чи оновлювати файли конфігурації.

00:08:30.400 --> 00:08:32.100
URL-адреса залишається такою самою.

00:08:32.320 --> 00:08:33.120
Єдине, що змінюється,

00:08:33.220 --> 00:08:34.900
це спосіб вирішення цієї URL-адреси.

00:08:35.080 --> 00:08:36.200
З точки зору застосунку,

00:08:36.300 --> 00:08:38.140
він підключається до того самого сховища,

00:08:38.260 --> 00:08:40.320
але за лаштунками шлях трафіку зовсім інший.

00:08:40.480 --> 00:08:41.780
І якщо ви хочете піти до кінця,

00:08:41.880 --> 00:08:44.020
ви можете повністю вимкнути публічну кінцеву точку.

00:08:52.260 --> 00:08:53.340
На яку варто звернути увагу.

00:08:53.440 --> 00:08:55.560
Облікові записи зберігання мають декілька підресурсів.

00:08:55.680 --> 00:08:58.000
Блоб – це один із них, але є ще файли, таблиці та черги.

00:08:58.120 --> 00:09:00.180
Кожен із них може мати власну приватну кінцеву точку.

00:09:00.340 --> 00:09:02.060
Ви можете мати окрему точку для трафіку блобів

00:09:02.060 --> 00:09:03.280
і окрему для файлового трафіку.

00:09:03.440 --> 00:09:05.260
Або використати одну кінцеву точку для всіх них,

00:09:05.400 --> 00:09:06.240
залежно від ваших потреб.

00:09:06.420 --> 00:09:07.380
Можливо, ви запитаєте,

00:09:07.480 --> 00:09:09.640
чим це відрізняється від інших варіантів підключення Azure.

00:09:09.800 --> 00:09:11.920
VPN, ExpressRoute, кінцеві точки сервісу.

00:09:11.920 --> 00:09:13.260
Усі вони звучать схоже.

00:09:13.420 --> 00:09:14.580
Давайте прояснимо це.

00:09:14.740 --> 00:09:17.940
PrivateLink проти VPN, ExpressRoute та кінцевих точок сервісу.

00:09:18.040 --> 00:09:19.960
Отже, як PrivateLink співвідноситься з VPN,

00:09:20.160 --> 00:09:21.920
ExpressRoute та кінцевими точками сервісу.

00:09:22.080 --> 00:09:23.660
Здається, що вони роблять одне й те саме,

00:09:23.760 --> 00:09:25.240
але насправді вирішують різні завдання.

00:09:25.380 --> 00:09:27.780
І в багатьох випадках ви будете використовувати їх разом.

00:09:27.900 --> 00:09:28.800
Почнемо з VPN.

00:09:29.060 --> 00:09:31.600
Віртуальна приватна мережа з'єднує вашу локальну мережу

00:09:31.600 --> 00:09:33.060
з Azure через публічний інтернет.

00:09:33.060 --> 00:09:36.080
Вона створює зашифрований тунель між вашим сайтом і Azure.

00:09:36.080 --> 00:09:39.740
Трафік зашифрований, звісно, але він усе ще йде через публічний інтернет.

00:09:39.860 --> 00:09:42.700
Тунель безпечний, але дорога, по якій він проходить, публічна.

00:09:42.940 --> 00:09:45.580
PrivateLink не замінює VPN, він працює разом із ним.

00:09:45.740 --> 00:09:48.100
Ви можете використовувати VPN для підключення офісу до Azure,

00:09:48.220 --> 00:09:51.000
а потім PrivateLink для приватного доступу до облікового запису зберігання

00:09:51.000 --> 00:09:51.760
через це з'єднання.

00:09:52.220 --> 00:09:53.260
ExpressRoute – це інше.

00:09:53.420 --> 00:09:56.560
Він надає вам виділений приватний канал від вашого дата-центру до Azure.

00:09:56.560 --> 00:09:59.200
Трафік взагалі ніколи не торкається публічного інтернету.

00:09:59.200 --> 00:10:01.940
Це ніби мати власну приватну дорогу прямо до мережі Microsoft.

00:10:02.180 --> 00:10:03.420
Але ось у чому підвох.

00:10:03.560 --> 00:10:06.640
Сам по собі ExpressRoute не надає приватного доступу до пас-сервісів.

00:10:06.800 --> 00:10:09.220
Він з'єднує вашу мережу з Azure, але ваш обліковий запис зберігання

00:10:09.220 --> 00:10:10.640
все ще має публічну кінцеву точку.

00:10:10.800 --> 00:10:12.640
Вам потрібно поєднати ExpressRoute з PrivateLink,

00:10:12.800 --> 00:10:14.800
щоб отримати справжній приватний доступ до цих сервісів.

00:10:14.920 --> 00:10:17.120
Кінцеві точки сервісу – це старіша технологія.

00:10:17.120 --> 00:10:19.280
Вони дозволяють обмежити доступ до сервісу Azure так,

00:10:19.380 --> 00:10:21.800
щоб до нього міг звернутися лише трафік з вашої віртуальної мережі.

00:10:21.920 --> 00:10:22.760
Але ось у чому справа.

00:10:22.860 --> 00:10:24.680
Сервіс усе ще має публічну кінцеву точку.

00:10:24.860 --> 00:10:26.260
Ви просто додаєте правило Брандмауера,

00:10:26.400 --> 00:10:28.880
яке каже «дозволяти лише трафік із цієї віртуальної мережі».

00:10:28.880 --> 00:10:31.140
Сама кінцева точка все ще відкрита для інтернету.

00:10:31.280 --> 00:10:32.880
PrivateLink безпечніший, оскільки кінцева точка

00:10:32.880 --> 00:10:34.300
знаходиться безпосередньо всередині вашої внет

00:10:34.300 --> 00:10:35.340
і має приватну IP-адресу.

00:10:35.480 --> 00:10:37.380
Немає публічної кінцевої точки, яку можна було б атакувати.

00:10:37.540 --> 00:10:39.300
Дозвольте запропонувати вам простий спосіб це зрозуміти.

00:10:39.300 --> 00:10:41.440
VPN – це безпечний тунель крізь публічну дорогу.

00:10:41.680 --> 00:10:43.840
Експресраут – це приватна дорога, що веде прямо до ежур.

00:10:43.940 --> 00:10:45.960
Кінцеві точки сервісу – це охоронець біля публічних воріт,

00:10:46.060 --> 00:10:46.980
який перевіряє посвідчення.

00:10:47.260 --> 00:10:49.300
PrivateLink – це прямий коридор у середині будівлі.

00:10:49.440 --> 00:10:51.120
Ви взагалі ніколи не виходите назовні.

00:10:51.240 --> 00:10:52.280
То що ж вам обрати?

00:10:52.460 --> 00:10:53.780
Це залежить від ситуації.

00:10:54.020 --> 00:10:56.560
Для підключення вашого офісу до ежур у вас є варіанти

00:10:56.560 --> 00:10:57.760
VPN або експресраут.

00:10:57.960 --> 00:10:59.780
Для приватного доступу до пас-сервісів

00:10:59.780 --> 00:11:01.200
стандартом є PrivateLink,

00:11:01.200 --> 00:11:03.540
а для максимальної безпеки поєднайте їх.

00:11:03.840 --> 00:11:06.120
Експресраут для приватного спрямування трафіку в ежур,

00:11:06.200 --> 00:11:08.760
а потім PrivateLink для приватного доступу до сервісів.

00:11:08.900 --> 00:11:11.300
Але PrivateLink – це не лише для сервісів Microsoft.

00:11:11.580 --> 00:11:13.720
Ви також можете використовувати його для власних додатків,

00:11:13.820 --> 00:11:16.280
де служба PrivateLink розміщує ваші приватні кінцеві точки.

00:11:16.500 --> 00:11:18.180
Ось те, що багато хто пропускає.

00:11:18.420 --> 00:11:21.000
PrivateLink призначений не лише для використання сервісів ежур.

00:11:21.140 --> 00:11:22.400
Ви також можете використовувати його,

00:11:22.540 --> 00:11:24.200
щоб надати доступ до своїх додатків усьому світу.

00:11:24.400 --> 00:11:26.520
Саме для цього і було створено службу PrivateLink.

00:11:26.520 --> 00:11:28.220
Уявіть, що ви SaaS-провайдер.

00:11:28.340 --> 00:11:29.960
Ваш додаток працює на віртуальних машинах

00:11:29.960 --> 00:11:31.620
за стандартним балансувальником навантаження,

00:11:31.720 --> 00:11:33.120
і клієнти отримують до нього доступ.

00:11:33.260 --> 00:11:34.880
Традиційно у вас було два варіанти –

00:11:34.880 --> 00:11:37.080
відкрити все для інтернету або налаштувати VPN

00:11:37.080 --> 00:11:38.560
між вашою мережею та їхньою.

00:11:38.720 --> 00:11:40.400
Обидва мають суттєві недоліки.

00:11:40.580 --> 00:11:42.640
Публічний доступ створює ризики безпеки,

00:11:42.700 --> 00:11:45.000
а VPN – складні в керуванні та обслуговуванні.

00:11:45.180 --> 00:11:47.300
Служба PrivateLink вирішує ці проблеми.

00:11:47.420 --> 00:11:48.840
Ви створюєте службу, підключаєте її

00:11:48.840 --> 00:11:50.320
до стандартного балансувальника навантаження,

00:11:50.420 --> 00:11:51.420
і ваші клієнти можуть створити

00:11:51.420 --> 00:11:53.260
приватну кінцеву точку у своїй віртуальній мережі.

00:11:53.380 --> 00:11:54.640
Ця кінцева точка підключається

00:11:54.640 --> 00:11:55.900
безпосередньо до вашої служби.

00:11:56.080 --> 00:11:57.500
Жодного пірингу, жодного VPN

00:11:57.500 --> 00:11:58.980
і жодного публічного доступу.

00:11:59.100 --> 00:12:01.160
Трафік іде від їхньої приватної кінцевої точки

00:12:01.160 --> 00:12:02.360
через магістраль Microsoft

00:12:02.360 --> 00:12:03.520
прямо до вашої служби.

00:12:03.680 --> 00:12:05.300
Він ніколи не потрапляє в інтернет.

00:12:05.500 --> 00:12:07.820
Ваша служба отримує глобально унікальний псевдонім,

00:12:07.960 --> 00:12:11.060
наприклад, MyApp, GVid, Rejan, Azure, PrivateLink Service.

00:12:11.060 --> 00:12:13.000
Саме цей псевдонім використовують клієнти

00:12:13.000 --> 00:12:14.940
для підключення, і ви повністю контролюєте,

00:12:15.040 --> 00:12:15.880
хто може його бачити.

00:12:16.080 --> 00:12:17.220
Ви можете обмежити видимість

00:12:17.220 --> 00:12:19.540
за допомогою ролей RBAC, конкретних підписок,

00:12:19.620 --> 00:12:20.980
або дозволити запит на підключення

00:12:20.980 --> 00:12:21.940
будь-кому з псевдонімом.

00:12:22.080 --> 00:12:23.080
Кожен запит на підключення

00:12:23.080 --> 00:12:24.520
надходить до вас для ручного схвалення,

00:12:24.620 --> 00:12:26.560
тому ви завжди точно знаєте, хто підключається.

00:12:26.720 --> 00:12:28.900
Для SaaS-провайдерів це величезний крок вперед.

00:12:29.020 --> 00:12:30.340
Замість того, щоб відкривати правила

00:12:30.340 --> 00:12:32.700
BrandMaware чи керувати складними конфігураціями VPN,

00:12:32.700 --> 00:12:34.320
ви просто надаєте клієнту псевдонім.

00:12:34.460 --> 00:12:36.180
Вони створюють приватну кінцеву точку,

00:12:36.300 --> 00:12:37.560
ви її схвалюєте, і все.

00:12:37.880 --> 00:12:38.280
Готово.

00:12:38.380 --> 00:12:39.140
Однак є обмеження.

00:12:39.260 --> 00:12:40.520
Служба PrivateLink працює лише

00:12:40.520 --> 00:12:42.240
зі стандартними балансувальниками навантаження,

00:12:42.340 --> 00:12:42.860
а не з базовими.

00:12:43.020 --> 00:12:44.040
Якщо ви все ще використовуєте

00:12:44.040 --> 00:12:45.180
базовий балансувальник навантаження,

00:12:45.280 --> 00:12:46.400
вам потрібно спочатку оновитися.

00:12:46.540 --> 00:12:48.320
Це невелика ціна за безпеку та простоту,

00:12:48.380 --> 00:12:49.640
які ви отримуєте натомість.

00:12:49.820 --> 00:12:51.700
Звучить чудово, але що це насправді означає

00:12:51.700 --> 00:12:53.340
для ваших потреб у відповідності вимогам

00:12:53.340 --> 00:12:54.120
та вашого бюджету.

00:12:54.280 --> 00:12:55.620
Безпека, відповідність вимогам

00:12:55.620 --> 00:12:56.720
та міркування щодо витрат.

00:12:56.900 --> 00:12:57.800
Давайте поговоримо про те,

00:12:57.900 --> 00:12:59.200
що насправді означає PrivateLink

00:12:59.200 --> 00:13:00.340
для ваших вимог відповідності

00:13:00.340 --> 00:13:01.060
та вашого гаманця.

00:13:01.200 --> 00:13:02.360
Спочатку про безпеку.

00:13:02.520 --> 00:13:04.160
PrivateLink зменшує поверхню атаки,

00:13:04.320 --> 00:13:06.200
повністю усуваючи публічні кінцеві точки.

00:13:06.440 --> 00:13:07.600
Це головна перевага.

00:13:07.740 --> 00:13:08.900
Замість облікового запису зберігання

00:13:08.900 --> 00:13:09.760
чи бази даних SQL,

00:13:09.920 --> 00:13:11.140
доступних з будь-якого місця в інтернеті,

00:13:11.200 --> 00:13:11.940
ви отримуєте ресурс,

00:13:11.940 --> 00:13:12.900
який реагує лише на трафік

00:13:12.900 --> 00:13:14.220
усередині вашої віртуальної мережі.

00:13:14.340 --> 00:13:15.700
Жодних публічних IP для сканування,

00:13:15.820 --> 00:13:17.240
жодних відкритих портів для зондування.

00:13:17.360 --> 00:13:19.200
Поверхня атаки значно скоро чується.

00:13:19.380 --> 00:13:20.280
Ось ще одна перевага,

00:13:20.340 --> 00:13:21.780
який приділяють недостатньо уваги

00:13:21.780 --> 00:13:22.920
за побігання витоку даних.

00:13:23.020 --> 00:13:24.100
Кожна приватна кінцева точка

00:13:24.100 --> 00:13:25.120
прив'язується до конкретного

00:13:25.120 --> 00:13:25.940
екземпляра ресурсу,

00:13:25.980 --> 00:13:26.760
а не до всієї служби

00:13:26.760 --> 00:13:27.740
чи всіх облікових записів

00:13:27.740 --> 00:13:28.860
зберігання у вашій підписці,

00:13:29.000 --> 00:13:29.500
лише до одного.

00:13:29.500 --> 00:13:31.360
Тож, якщо хтось зламає робоче навантаження

00:13:31.360 --> 00:13:32.480
у вашій віртуальній мережі,

00:13:32.540 --> 00:13:34.220
він не зможе використати цю приватну точку

00:13:34.220 --> 00:13:35.500
для доступу до інших сховищ.

00:13:35.660 --> 00:13:37.380
Вони обмежені лише тим одним ресурсом,

00:13:37.520 --> 00:13:38.180
який ви схвалили.

00:13:38.340 --> 00:13:39.860
Для команд безпеки така ізоляція

00:13:39.860 --> 00:13:40.620
це дуже важливо.

00:13:40.820 --> 00:13:41.840
Щодо відповідності вимогам,

00:13:41.920 --> 00:13:43.700
PrivateLink закриває багато критичних питань.

00:13:43.860 --> 00:13:46.220
Регуляції, як от HIPAA, GDPR та PCI

00:13:46.220 --> 00:13:46.880
часто вимагають,

00:13:46.880 --> 00:13:47.800
щоб конфіденційні дані

00:13:47.800 --> 00:13:49.460
ніколи не передавалися через публічні мережі.

00:13:49.580 --> 00:13:51.900
PrivateLink надає вам чіткий спосіб це довести.

00:13:52.120 --> 00:13:53.000
Ваш трафік залишається

00:13:53.000 --> 00:13:54.260
в магістральній мережі Microsoft

00:13:54.260 --> 00:13:55.940
і ви можете вказати на журнали аудиту

00:13:55.940 --> 00:13:57.140
зі словами «Ось доказ».

00:13:57.140 --> 00:13:58.200
Для регульованих галузей

00:13:58.200 --> 00:14:00.080
лише це вже може виправдати інвестиції.

00:14:00.240 --> 00:14:01.440
Тепер поговоримо про вартість,

00:14:01.540 --> 00:14:03.040
бо саме тут на людей чекає сюрприз.

00:14:03.180 --> 00:14:04.800
PrivateLink не є безкоштовним.

00:14:04.980 --> 00:14:06.060
Ви платите погоденну ставку

00:14:06.060 --> 00:14:07.360
за кожну приватну кінцеву точку

00:14:07.360 --> 00:14:08.680
плюс комісію за обробку даних,

00:14:08.680 --> 00:14:09.720
що проходять через неї.

00:14:09.860 --> 00:14:10.800
Залежно від використання,

00:14:10.900 --> 00:14:12.160
це може бути в 2-3 рази дорожче,

00:14:12.260 --> 00:14:13.860
ніж використання публічної кінцевої точки

00:14:13.860 --> 00:14:16.060
Це швидко накопичується,

00:14:16.180 --> 00:14:17.980
особливо якщо у вас багато кінцевих точок.

00:14:18.140 --> 00:14:19.240
Отже, чесна думка,

00:14:19.400 --> 00:14:21.560
PrivateLink не завжди є найкращим вибором.

00:14:21.740 --> 00:14:23.200
Якщо ви працюєте в середовищі розробки

00:14:23.200 --> 00:14:24.600
чи тестування безконфіденційних даних,

00:14:24.700 --> 00:14:25.500
публічні кінцеві точки

00:14:25.500 --> 00:14:26.520
з правильними налаштуваннями

00:14:26.520 --> 00:14:27.960
БрандМауера, ймовірно, підійдуть.

00:14:28.060 --> 00:14:29.680
Якщо ви розміщуєте публічний веб-сайт,

00:14:29.680 --> 00:14:31.220
який має бути доступним з інтернету,

00:14:31.300 --> 00:14:32.500
PrivateLink вам не допоможе.

00:14:32.660 --> 00:14:33.640
Але для робочих навантажень

00:14:33.640 --> 00:14:34.960
у регульованих галузях, фінансах,

00:14:34.960 --> 00:14:36.200
в медицині державному секторі

00:14:36.200 --> 00:14:37.800
PrivateLink часто є обов'язковим.

00:14:37.920 --> 00:14:39.700
Це ціна безпечного ведення бізнесу.

00:14:39.820 --> 00:14:41.120
Тепер, перед тим, як це впроваджувати,

00:14:41.280 --> 00:14:42.020
варто звернути увагу

00:14:42.020 --> 00:14:43.020
на кілька підводних каменів.

00:14:43.120 --> 00:14:44.260
Труднощі впровадження

00:14:44.260 --> 00:14:45.820
Те, що пропускають новачки

00:14:45.820 --> 00:14:46.960
Дозвольте мені позбавити вас

00:14:46.960 --> 00:14:47.900
зайвого головного болю.

00:14:48.020 --> 00:14:48.960
Ось найпоширеніші помилки,

00:14:49.080 --> 00:14:49.860
яких припускаються люди

00:14:49.860 --> 00:14:51.280
під час першого налаштування PrivateLink.

00:14:51.400 --> 00:14:52.580
По-перше, ви повинні вимкнути

00:14:52.580 --> 00:14:53.600
публічну кінцеву точку

00:14:53.600 --> 00:14:54.720
після створення приватної.

00:14:54.720 --> 00:14:56.360
Це найбільший підводний камінь.

00:14:56.480 --> 00:14:57.300
Багато людей створюють

00:14:57.300 --> 00:14:58.240
приватну кінцеву точку

00:14:58.240 --> 00:14:59.520
і вважають, що цього достатньо,

00:14:59.600 --> 00:15:00.080
але це не так.

00:15:00.240 --> 00:15:01.020
Публічна кінцева точка

00:15:01.020 --> 00:15:02.380
залишається активною за замовчуванням,

00:15:02.440 --> 00:15:03.540
що означає, що ваш трафік

00:15:03.540 --> 00:15:04.620
усе ще може йти через інтернет.

00:15:04.780 --> 00:15:06.360
Ви повинні зайти в налаштування мережі

00:15:06.360 --> 00:15:07.340
і явно вимкнути доступ

00:15:07.340 --> 00:15:08.320
до публічної мережі.

00:15:08.440 --> 00:15:09.660
Якщо ви пропустите цей крок,

00:15:09.760 --> 00:15:11.260
ви насправді нічого не убезпечили.

00:15:11.420 --> 00:15:12.880
Далі, DNS, роздільна здатність

00:15:12.880 --> 00:15:13.780
для локальних клієнтів,

00:15:13.780 --> 00:15:15.180
потребує додаткового налаштування.

00:15:15.340 --> 00:15:16.560
Якщо ваші офісні комп'ютери

00:15:16.560 --> 00:15:17.660
підключаються через VPN

00:15:17.660 --> 00:15:18.460
або ExpressRoute,

00:15:18.580 --> 00:15:19.600
вони не зможуть автоматично

00:15:19.600 --> 00:15:20.580
визначити IP вашої

00:15:20.580 --> 00:15:21.700
приватної кінцевої точки.

00:15:21.900 --> 00:15:22.880
Приватна зона DNS

00:15:22.880 --> 00:15:23.900
прив'язана до вашої

00:15:23.900 --> 00:15:25.040
віртуальної мережі Azure,

00:15:25.180 --> 00:15:26.680
а не до локальних DNS-серверів.

00:15:26.840 --> 00:15:27.720
Вам потрібно налаштувати

00:15:27.720 --> 00:15:28.540
DNS-пересилач

00:15:28.540 --> 00:15:29.800
або використати Azure DNS

00:15:29.800 --> 00:15:30.540
Private Resolva,

00:15:30.640 --> 00:15:31.480
щоб запити досягали

00:15:31.480 --> 00:15:32.160
приватної зони.

00:15:32.340 --> 00:15:33.340
Багато хто забуває про це,

00:15:33.340 --> 00:15:34.100
а потім дивується,

00:15:34.200 --> 00:15:35.220
чому їхні локальні програми

00:15:35.220 --> 00:15:36.120
не можуть підключитися.

00:15:43.780 --> 00:15:46.240
Приватна кінцева точка

00:15:46.240 --> 00:15:47.020
повинна знаходитися

00:15:47.020 --> 00:15:47.740
в тому ж регіоні,

00:15:47.820 --> 00:15:48.720
що і віртуальна мережа.

00:15:48.820 --> 00:15:49.580
Pass-сервіс може бути

00:15:49.580 --> 00:15:50.300
в іншому регіоні,

00:15:50.380 --> 00:15:51.260
але сама кінцева точка

00:15:51.260 --> 00:15:51.960
повинна відповідати

00:15:51.960 --> 00:15:53.100
регіону віртуальної мережі.

00:15:53.240 --> 00:15:54.340
Плануйте відповідно.

00:15:54.540 --> 00:15:55.160
Ще одне.

00:15:55.340 --> 00:15:56.320
Мережеві групи безпеки

00:15:56.320 --> 00:15:57.460
впливають на мережеву карту

00:15:57.460 --> 00:15:58.640
приватної кінцевої точки.

00:15:58.840 --> 00:15:59.600
Приватна кінцева точка

00:15:59.600 --> 00:16:00.760
створює віртуальну мережеву карту

00:16:00.760 --> 00:16:01.900
NIC у вашій підмережі.

00:16:02.020 --> 00:16:02.660
Ця мережева карта

00:16:02.660 --> 00:16:03.320
підпорядковується

00:16:03.320 --> 00:16:04.380
тим самим правилам NSD

00:16:04.380 --> 00:16:05.200
що й інші ресурси

00:16:05.200 --> 00:16:05.780
в цій підмережі.

00:16:05.920 --> 00:16:06.860
Якщо ви заблокуєте трафік

00:16:06.860 --> 00:16:07.800
до підмережі цієї карти,

00:16:07.880 --> 00:16:08.940
кінцева точка не працюватиме.

00:16:09.100 --> 00:16:09.540
Переконайтеся,

00:16:09.640 --> 00:16:10.440
що ваші правила NSD

00:16:10.440 --> 00:16:10.980
дозволяють це.