Configuración de puntos de conexión de red para acceder a recursos compartidos de archivos de Azure

✔️ Se aplica a: Recursos compartidos de archivos clásicos creados con el proveedor de recursos Microsoft.Storage

✔️ Se aplica a: recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares

Azure Files proporciona dos tipos principales de puntos de conexión para el acceso a los recursos compartidos de archivos de Azure:

Puntos de conexión públicos, que tienen una dirección IP pública y puede acceder desde cualquier lugar del mundo.
Puntos de conexión privados, que existen dentro de una red virtual y tienen una dirección IP privada en el espacio de direcciones de esa red virtual.

En el caso de los recursos compartidos de archivos clásicos (creados con el Microsoft.Storage proveedor de recursos), la cuenta de almacenamiento de Azure tiene puntos de conexión públicos y privados. En el caso de los recursos compartidos de archivos creados con el Microsoft.FileShares proveedor de recursos, se crean puntos de conexión públicos y privados en el nivel de recurso compartido de archivos en lugar del nivel de cuenta de almacenamiento.

En este artículo se centra en cómo configurar un punto de conexión privado para acceder directamente al recurso compartido de archivos Azure. Gran parte de este artículo también se aplica a cómo Azure File Sync interopera con puntos de conexión públicos y privados para la cuenta de almacenamiento. Para más información sobre las consideraciones de red para Azure File Sync, consulte configuración del proxy y del firewall de Azure File Sync.

Antes de leer esta guía, consulte las consideraciones de red de Azure Files.

Requisitos previos

En este artículo se supone que ya ha creado una suscripción de Azure. Si aún no tiene una suscripción, cree una cuenta gratuita.
En este artículo se supone que ya ha creado un recurso compartido de archivos de Azure en una cuenta de almacenamiento a la que desea conectarse desde el entorno local. Para aprender a crear un recurso compartido de archivos de Azure, consulte Creación de un recurso compartido de archivos de Azure.
Si planea usar Azure PowerShell, instale la versión más reciente.
Si planea usar la CLI de Azure, instale la versión más reciente.

Configuraciones de punto de conexión

Puede configurar los puntos de conexión para restringir el acceso de red a su cuenta de almacenamiento. Para restringir el acceso a una cuenta de almacenamiento a una red virtual, use uno de los métodos siguientes:

Cree uno o varios puntos de conexión privados y restrinja todo el acceso al punto de conexión público. Este enfoque garantiza que solo el tráfico procedente de las redes virtuales deseadas pueda acceder a los recursos compartidos de archivos de Azure. Consulte costo de Private Link.
Restrinja el punto de conexión público a una o más redes virtuales. Este enfoque usa una funcionalidad de la red virtual denominada puntos de conexión de servicio. Al restringir el tráfico a una cuenta de almacenamiento a través de un punto de conexión de servicio, va a acceder a la cuenta de almacenamiento a través de la dirección IP pública, pero el acceso solo es posible desde las ubicaciones que especifique en la configuración.

Creación de un punto de conexión privado

Al crear un punto de conexión privado para los recursos compartidos de archivos, implemente los siguientes recursos Azure:

Un punto de conexión privado: un recurso Azure que representa el punto de conexión privado. Puede considerar este recurso como un conector entre un recurso de destino y una interfaz de red.
Una interfaz de red (NIC): la interfaz de red que mantiene una dirección IP privada dentro de la red virtual y la subred especificadas. Este recurso es el mismo que el que se implementa al implementar una máquina virtual (VM). Sin embargo, en lugar de asignarlo a una máquina virtual, el punto de conexión privado lo posee.
Una zona privada del sistema de nombres de dominio (DNS): si no implementó previamente un punto de conexión privado para esta red virtual, se implementa una nueva zona DNS privada para la red virtual. También se crea un registro DNS en esta zona DNS. Si ya ha implementado un punto de conexión privado en esta red virtual, se agrega un nuevo registro a la zona DNS existente. La implementación de una zona DNS es opcional. Sin embargo, se recomienda encarecidamente y es necesario si va a montar los recursos compartidos de archivos de Azure con una entidad de servicio de AD o mediante la API de FileREST.

Nota:

En este artículo se usa el sufijo DNS para las regiones públicas de Azure, core.windows.net. Este comentario también se aplica a las nubes soberanas de Azure, como la nube Azure US Government y la nube de Azure operada por 21Vianet. Simplemente sustituya los sufijos adecuados para su entorno.

El proceso de creación del punto de conexión privado difiere ligeramente en función de si usa recursos compartidos de archivos clásicos o el nuevo recurso compartido de archivos:

	Recursos compartidos de archivos clásicos (`Microsoft.Storage`)	Nuevos recursos compartidos de archivos (`Microsoft.FileShares`)
Objetivo del punto de conexión privado	Cuenta de almacenamiento	Compartición de archivos
Cmdlet de recursos	`Get-AzStorageAccount`	`Get-AzFileShare`
Id. de grupo (subrecurso)	`file`	`FileShare`
Nombre de registro A de DNS	Nombre de la cuenta de almacenamiento	Prefijo de nombre de host (por ejemplo, `fs-xxxxxxxxxxxxxxxxx`)

Los pasos de configuración de red virtual, creación de puntos de conexión privados y configuración de zona DNS son idénticos para ambas experiencias. Solo la referencia de recursos, el identificador de grupo y el nombre del registro DNS difieren.

Vaya al grupo de recursos donde desea crear un punto de conexión privado. Seleccione + Crear y busque Punto de conexión privado. Seleccione el recurso de punto de conexión privado y, a continuación, seleccione Crear.

El asistente tiene varias páginas que debe completar:

En la página Aspectos básicos , seleccione la suscripción, el grupo de recursos, el nombre, el nombre de la interfaz de red y la región del punto de conexión privado. Debe crear el punto de conexión privado en la misma región que la red virtual en la que desea crear el punto de conexión privado. Después, seleccione Siguiente: Recurso.

Si está usando recursos compartidos de archivos clásicos:

En la página Recurso, elija Microsoft. Storage/storageAccounts en el menú desplegable del tipo de recurso. A continuación, seleccione la cuenta de almacenamiento específica a la que quiere conectarse como Recurso. El subrecurso de destino se rellena automáticamente con file. A continuación, seleccione Siguiente: Red virtual.

Si usa el nuevo recurso compartido de archivos:

En la página Recurso, elija Microsoft. FileShares/fileShares en el menú desplegable del tipo de recurso. A continuación, seleccione el recurso compartido de archivos específico al que desea conectarse como Recurso. El subrecurso de destino se rellena automáticamente con FileShare. A continuación, seleccione Siguiente: Red virtual.

La página Virtual Network le permite seleccionar el virtual network y la subred específicos a los que desea agregar el punto de conexión privado. Seleccione la asignación de direcciones IP dinámicas o estáticas para el nuevo punto de conexión privado. Si selecciona estático, también debe proporcionar un nombre y una dirección IP privada. También puede especificar opcionalmente un grupo de seguridad de aplicación. Al acabar, seleccione Siguiente: DNS.

La página DNS contiene la información para integrar el punto de conexión privado con una zona DNS privada. Asegúrese de que la suscripción y el grupo de recursos son correctos y, a continuación, seleccione Siguiente: Etiquetas.

Opcionalmente, puede aplicar etiquetas para clasificar los recursos, como aplicar el nombre Entorno y el valor Prueba a todos los recursos de prueba. Escriba pares nombre-valor si quiere y, a continuación, seleccione Siguiente: Revisar y crear.

Seleccione Crear para crear el punto de conexión privado.

Para crear un punto de conexión privado, primero obtenga una referencia a la cuenta de almacenamiento o al recurso compartido de archivos y a la subred de red virtual en la que desea agregar el punto de conexión privado. Reemplace los valores de marcador de posición en el código siguiente por sus propios valores.

Para los recursos compartidos de archivos clásicos, obtenga una referencia a la cuenta de almacenamiento:

$storageAccountResourceGroupName = "<storage-account-resource-group-name>"
$storageAccountName = "<storage-account-name>"

$storageAccount = Get-AzStorageAccount `
        -ResourceGroupName $storageAccountResourceGroupName `
        -Name $storageAccountName `
        -ErrorAction SilentlyContinue

if ($null -eq $storageAccount) {
    $errorMessage = "Storage account $storageAccountName not found "
    $errorMessage += "in resource group $storageAccountResourceGroupName."
    Write-Error -Message $errorMessage -ErrorAction Stop
}

# Set common variables for private endpoint creation
$resourceGroupName = $storageAccountResourceGroupName
$privateLinkResourceId = $storageAccount.Id
$groupId = "file"
$dnsRecordName = $storageAccountName

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, obtenga una referencia al recurso compartido de archivos:

 $fileShareResourceGroupName = "<resource-group-name>"
 $fileShareName = "<file-share-name>"
 
 $fileShare = Get-AzFileShare `
         -ResourceGroupName $fileShareResourceGroupName `
         -ResourceName $fileShareName `
         -ErrorAction SilentlyContinue
 
 if ($null -eq $fileShare) {
     $errorMessage = "File share $fileShareName not found "
     $errorMessage += "in resource group $fileShareResourceGroupName."
     Write-Error -Message $errorMessage -ErrorAction Stop
 }
 
 # Extract hostName and hostNamePrefix for DNS record
 $hostName = $fileShare.HostName
 $hostNamePrefix = $hostName.Split('.')[0]
 
 # Set common variables for private endpoint creation
 $resourceGroupName = $fileShareResourceGroupName
 $privateLinkResourceId = $fileShare.Id
 $groupId = "FileShare"
 $dnsRecordName = $hostNamePrefix

Después de establecer las variables comunes, los pasos restantes son los mismos para ambas experiencias. Obtenga referencias a la red virtual y a la subred:

 $virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
 $virtualNetworkName = "<vnet-name>"
 $subnetName = "<vnet-subnet-name>"
 
 # Get virtual network reference, and throw error if it doesn't exist
 $virtualNetwork = Get-AzVirtualNetwork `
         -ResourceGroupName $virtualNetworkResourceGroupName `
         -Name $virtualNetworkName `
         -ErrorAction SilentlyContinue
 
 if ($null -eq $virtualNetwork) {
     $errorMessage = "Virtual network $virtualNetworkName not found "
     $errorMessage += "in resource group $virtualNetworkResourceGroupName."
     Write-Error -Message $errorMessage -ErrorAction Stop
 }
 
 # Get reference to virtual network subnet, and throw error if it doesn't exist
 $subnet = $virtualNetwork | `
     Select-Object -ExpandProperty Subnets | `
     Where-Object { $_.Name -eq $subnetName }
 
 if ($null -eq $subnet) {
     Write-Error `
             -Message "Subnet $subnetName not found in virtual network $virtualNetworkName." `
             -ErrorAction Stop
 }

Para crear un punto de conexión privado, debe crear una conexión de servicio de enlace privado. La conexión de servicio de vínculo privado es una entrada para la creación del punto de conexión privado.

 # Disable private endpoint network policies
 $subnet.PrivateEndpointNetworkPolicies = "Disabled"
 $virtualNetwork = $virtualNetwork | `
     Set-AzVirtualNetwork -ErrorAction Stop
 
 # Create a private link service connection.
 $privateEndpointConnection = New-AzPrivateLinkServiceConnection `
         -Name "$dnsRecordName-Connection" `
         -PrivateLinkServiceId $privateLinkResourceId `
         -GroupId $groupId `
         -ErrorAction Stop
 
 # Create a new private endpoint.
 $privateEndpoint = New-AzPrivateEndpoint `
         -ResourceGroupName $resourceGroupName `
         -Name "$dnsRecordName-PrivateEndpoint" `
         -Location $virtualNetwork.Location `
         -Subnet $subnet `
         -PrivateLinkServiceConnection $privateEndpointConnection `
         -ErrorAction Stop

Si crea una zona DNS privada de Azure, el nombre de host original se resuelve como la dirección IP privada dentro de la red virtual. Aunque desde el punto de vista de la creación de un punto de conexión privado este paso es opcional, se necesita explícitamente para montar el recurso compartido de archivos de Azure directamente con una entidad de seguridad de usuario de AD o para permitir el acceso mediante la API de REST.

 # Get the host name suffix (core.windows.net for public cloud).
 # This is done like this so this script will seamlessly work for non-public Azure.
 $hostNameSuffix = Get-AzContext | `
     Select-Object -ExpandProperty Environment | `
     Select-Object -ExpandProperty StorageEndpointSuffix
 
 # For public cloud, this will generate the following DNS suffix:
 # privatelink.file.core.windows.net.
 $dnsZoneName = "privatelink.file.$hostNameSuffix"
 
 # Find a DNS zone matching desired name attached to this virtual network.
 $dnsZone = Get-AzPrivateDnsZone | `
     Where-Object { $_.Name -eq $dnsZoneName } | `
     Where-Object {
         $privateDnsLink = Get-AzPrivateDnsVirtualNetworkLink `
                 -ResourceGroupName $_.ResourceGroupName `
                 -ZoneName $_.Name `
                 -ErrorAction SilentlyContinue
         
         $privateDnsLink.VirtualNetworkId -eq $virtualNetwork.Id
     }
 
 if ($null -eq $dnsZone) {
     # No matching DNS zone attached to virtual network, so create new one.
     $dnsZone = New-AzPrivateDnsZone `
             -ResourceGroupName $virtualNetworkResourceGroupName `
             -Name $dnsZoneName `
             -ErrorAction Stop
 
     $privateDnsLink = New-AzPrivateDnsVirtualNetworkLink `
             -ResourceGroupName $virtualNetworkResourceGroupName `
             -ZoneName $dnsZoneName `
             -Name "$virtualNetworkName-DnsLink" `
             -VirtualNetworkId $virtualNetwork.Id `
             -ErrorAction Stop
 }

Ahora que tiene una referencia a la zona DNS privada, debe crear un registro.

 $privateEndpointIP = $privateEndpoint | `
     Select-Object -ExpandProperty NetworkInterfaces | `
     Select-Object @{ 
         Name = "NetworkInterfaces"; 
         Expression = { Get-AzNetworkInterface -ResourceId $_.Id } 
     } | `
     Select-Object -ExpandProperty NetworkInterfaces | `
     Select-Object -ExpandProperty IpConfigurations | `
     Select-Object -ExpandProperty PrivateIpAddress
 
 $privateDnsRecordConfig = New-AzPrivateDnsRecordConfig `
         -IPv4Address $privateEndpointIP
 
 New-AzPrivateDnsRecordSet `
         -ResourceGroupName $virtualNetworkResourceGroupName `
         -Name $dnsRecordName `
         -RecordType A `
         -ZoneName $dnsZoneName `
         -Ttl 600 `
         -PrivateDnsRecords $privateDnsRecordConfig `
         -ErrorAction Stop | `
     Out-Null

Para crear un punto de conexión privado, primero obtenga una referencia a la cuenta de almacenamiento o al recurso compartido de archivos, además de la subred de red virtual donde desea agregar el punto de conexión privado. Reemplace los valores de marcador de posición en los pasos siguientes por sus propios valores.

Para los recursos compartidos de archivos clásicos, obtenga una referencia a la cuenta de almacenamiento:

storageAccountResourceGroupName="<storage-account-resource-group-name>"
storageAccountName="<storage-account-name>"

# Get storage account ID
privateLinkResourceId=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

# Set common variables for private endpoint creation
resourceGroupName=$storageAccountResourceGroupName
groupId="file"
dnsRecordName=$storageAccountName

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, obtenga una referencia al recurso compartido de archivos:

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

# Get the file share resource ID and host name
privateLinkResourceId=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "id" --output tsv)

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

hostNamePrefix=$(echo $hostName | cut -d'.' -f1)

# Set common variables for private endpoint creation
resourceGroupName=$fileShareResourceGroupName
groupId="FileShare"
dnsRecordName=$hostNamePrefix

Después de establecer las variables comunes, los pasos restantes son los mismos para ambas experiencias. Obtenga referencias a la red virtual y a la subred:

virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<vnet-subnet-name>"

virtualNetwork=$(az network vnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --name $virtualNetworkName \
        --query "id" --output tsv)

subnet=$(az network vnet subnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --vnet-name $virtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

Para crear un punto de conexión privado, asegúrese de que la directiva de red del punto de conexión privado de la subred está deshabilitada y, a continuación, cree el punto de conexión privado con az network private-endpoint create.

# Disable private endpoint network policies
az network vnet subnet update \
        --ids $subnet \
        --disable-private-endpoint-network-policies \
        --output none

# Get virtual network location
region=$(az network vnet show \
        --ids $virtualNetwork \
        --query "location" --output tsv)

# Create a private endpoint
privateEndpoint=$(az network private-endpoint create \
        --resource-group $resourceGroupName \
        --name "$dnsRecordName-PrivateEndpoint" \
        --location $region \
        --subnet $subnet \
        --private-connection-resource-id $privateLinkResourceId \
        --group-id $groupId \
        --connection-name "$dnsRecordName-Connection" \
        --query "id" --output tsv)

Si crea una zona DNS privada de Azure, el nombre de host original se resuelve como la dirección IP privada dentro de la red virtual. Aunque desde el punto de vista de la creación de un punto de conexión privado este paso es opcional, se necesita para montar el recurso compartido de archivos de Azure mediante una entidad de seguridad de usuario de AD o para permitir el acceso mediante la API FileREST.

# Get the desired storage account suffix (core.windows.net for public cloud).
# This is done so the script will work for non-public Azure clouds.
storageAccountSuffix=$(az cloud show \
        --query "suffixes.storageEndpoint" --output tsv)

# For public cloud, this generates the DNS suffix:
# privatelink.file.core.windows.net.
dnsZoneName="privatelink.file.$storageAccountSuffix"

# Find a DNS zone matching the desired name attached to this virtual network.
possibleDnsZones=$(az network private-dns zone list \
        --query "[?name == '$dnsZoneName'].id" \
        --output tsv)

dnsZone=""
for possibleDnsZone in $possibleDnsZones
do
    possibleResourceGroupName=$(az resource show \
            --ids $possibleDnsZone \
            --query "resourceGroup" --output tsv)

    link=$(az network private-dns link vnet list \
            --resource-group $possibleResourceGroupName \
            --zone-name $dnsZoneName \
            --query "[?virtualNetwork.id == '$virtualNetwork'].id" \
            --output tsv)

    if [ -n "$link" ]
    then
        dnsZoneResourceGroup=$possibleResourceGroupName
        dnsZone=$possibleDnsZone
        break
    fi
done

if [ -z "$dnsZone" ]
then
    # No matching DNS zone attached to the virtual network, so create a new one.
    dnsZone=$(az network private-dns zone create \
            --resource-group $virtualNetworkResourceGroupName \
            --name $dnsZoneName \
            --query "id" --output tsv)

    az network private-dns link vnet create \
            --resource-group $virtualNetworkResourceGroupName \
            --zone-name $dnsZoneName \
            --name "$virtualNetworkName-DnsLink" \
            --virtual-network $virtualNetwork \
            --registration-enabled false \
            --output none

    dnsZoneResourceGroup=$virtualNetworkResourceGroupName
fi

Ahora que tiene una referencia a la zona DNS privada, cree un registro A.

privateEndpointNIC=$(az network private-endpoint show \
        --ids $privateEndpoint \
        --query "networkInterfaces[0].id" --output tsv)

privateEndpointIP=$(az network nic show \
        --ids $privateEndpointNIC \
        --query "ipConfigurations[0].privateIPAddress" --output tsv)

az network private-dns record-set a create \
        --resource-group $dnsZoneResourceGroup \
        --zone-name $dnsZoneName \
        --name $dnsRecordName \
        --output none

az network private-dns record-set a add-record \
        --resource-group $dnsZoneResourceGroup \
        --zone-name $dnsZoneName \
        --record-set-name $dnsRecordName \
        --ipv4-address $privateEndpointIP \
        --output none

Verificación de la conectividad

Si tiene una máquina virtual dentro de la red virtual o ha configurado el reenvío DNS como se describe en Configuración del reenvío DNS para Azure Files, puede probar que el punto de conexión privado está configurado correctamente. Ejecute los siguientes comandos desde PowerShell, la línea de comandos o el terminal (funciona para Windows, Linux o macOS).

En el caso de los recursos compartidos de archivos clásicos, reemplace por <storage-account-name> el nombre de la cuenta de almacenamiento adecuado:

nslookup <storage-account-name>.file.core.windows.net

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, use el nombre de host del recurso compartido de archivos. En la pestaña información general del recurso compartido de archivos, seleccione vista JSON en la esquina superior derecha. En la vista JSON, en propiedades, copie el valor de hostName. El formato es similar a fs-xxxxxxxxxxxxxxxxx.xx.file.storage.azure.net.

nslookup <file-share-host-name>

Si se ejecuta correctamente, verá una salida similar a la siguiente, donde 192.168.0.5 es la dirección IP privada del punto de conexión privado en la red virtual (salida que se muestra para Windows).

Para recursos compartidos de archivos clásicos:

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    storageaccount.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  storageaccount.file.core.windows.net

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

Server:  UnKnown
Address:  10.2.4.4

Non-authoritative answer:
Name:    <hostNamePrefix>.privatelink.file.core.windows.net
Address:  192.168.0.5
Aliases:  <hostNamePrefix>.<zone>.file.storage.azure.net

Si tiene una máquina virtual dentro de la red virtual o ha configurado el reenvío DNS como se describe en Configuración del reenvío DNS para Azure Files, puede probar que el punto de conexión privado está configurado correctamente mediante la ejecución de los siguientes comandos:

Para recursos compartidos de archivos clásicos:

 $storageAccountHostName = [System.Uri]::new($storageAccount.PrimaryEndpoints.file) | `
     Select-Object -ExpandProperty Host
 
 Resolve-DnsName -Name $storageAccountHostName

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

 Resolve-DnsName -Name $fileShare.HostName

Si se ejecuta correctamente, verá una salida similar a la siguiente, donde 192.168.0.5 es la dirección IP privada del punto de conexión privado en la red virtual.

Para recursos compartidos de archivos clásicos:

Name                             Type   TTL   Section    NameHost
----                             ----   ---   -------    --------
storageaccount.file.core.windows CNAME  60    Answer     storageaccount.privatelink.file.core.windows.net
.net

Name       : storageaccount.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

Name                                       Type   TTL   Section    NameHost
----                                       ----   ---   -------    --------
<hostNamePrefix>.<zone>.file.storage.azur  CNAME  60    Answer     <hostNamePrefix>.privatelink.file.core.windows.net
e.net

Name       : <hostNamePrefix>.privatelink.file.core.windows.net
QueryType  : A
TTL        : 600
Section    : Answer
IP4Address : 192.168.0.5

Si tiene una máquina virtual dentro de la red virtual o ha configurado el reenvío DNS como se describe en Configuración del reenvío DNS para Azure Files, puede probar que el punto de conexión privado está configurado correctamente mediante la ejecución de los siguientes comandos:

Para recursos compartidos de archivos clásicos:

httpEndpoint=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "primaryEndpoints.file" --output tsv)

hostName=$(echo $httpEndpoint | cut -c7-$(expr length $httpEndpoint) | tr -d "/")
nslookup $hostName

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

hostName=$(az fileshare show \
        --resource-group $fileShareResourceGroupName \
        --name $fileShareName \
        --query "properties.hostName" --output tsv)

nslookup $hostName

Si se ejecuta correctamente, verá una salida similar a la siguiente, donde 192.168.0.5 es la dirección IP privada del punto de conexión privado en la red virtual. Debe seguir usando el nombre de host original (storageaccount.file.core.windows.net para la experiencia clásica, o hostName del recurso compartido de archivos para la nueva experiencia) para montar el recurso compartido de archivos en lugar de la ruta de acceso privatelink.

Para recursos compartidos de archivos clásicos:

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
storageaccount.file.core.windows.net      canonical name = storageaccount.privatelink.file.core.windows.net.
Name:   storageaccount.privatelink.file.core.windows.net
Address: 192.168.0.5

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
<hostNamePrefix>.<zone>.file.storage.azure.net      canonical name = <hostNamePrefix>.privatelink.file.core.windows.net.
Name:   <hostNamePrefix>.privatelink.file.core.windows.net
Address: 192.168.0.5

Restricción del acceso al punto de conexión público

Para limitar el acceso al punto de conexión público, deshabilite primero el acceso general al punto de conexión público. Deshabilitar el acceso al punto de conexión público no afecta a los puntos de conexión privados. Después de deshabilitar el punto de conexión público, seleccione redes o direcciones IP específicas que puedan seguir accediendo a él. En general, la mayoría de las directivas de firewall de una cuenta de almacenamiento restringen el acceso de red a una o varias redes virtuales.

Deshabilitación del acceso al punto de conexión público

Al deshabilitar el acceso al punto de conexión público, todavía puede acceder a la cuenta de almacenamiento a través de sus puntos de conexión privados. De lo contrario, se rechazan las solicitudes válidas al punto de conexión público de la cuenta de almacenamiento, a menos que provenan de un origen permitido específicamente.

Para recursos compartidos de archivos clásicos:

Vaya a la cuenta de almacenamiento donde desea restringir todo el acceso al punto de conexión público. En la tabla de contenido de la cuenta de almacenamiento, seleccione la entrada Redes.

En la parte superior de la página, seleccione la opción Habilitado en redes virtuales y direcciones IP seleccionadas . Esta selección revela la configuración para controlar la restricción del punto de conexión público. Seleccione Permitir que los servicios de Azure de la lista de servicios de confianza accedan a esta cuenta de almacenamiento para permitir que servicios propios de Microsoft de confianza, como Azure File Sync, accedan a la cuenta de almacenamiento.

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

Vaya al recurso compartido de archivos donde desea deshabilitar el acceso público. En el menú servicio, en Configuración, seleccione Configuración. Establezca Acceso a la red pública en Deshabilitado y, a continuación, seleccione Guardar.

En el caso de los recursos compartidos de archivos clásicos, el siguiente comando de PowerShell deniega todo el tráfico al punto de conexión público de la cuenta de almacenamiento. Establezca el parámetro -Bypass en AzureServices para permitir que los servicios propios de confianza, como Azure File Sync, accedan a la cuenta de almacenamiento a través del punto de conexión público.

# This assumes $storageAccount is still defined from the beginning of this guide.
$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, establezca -PublicNetworkAccess como Disabled en el recurso compartido de archivos.

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -PublicNetworkAccess Disabled

En el caso de los recursos compartidos de archivos clásicos, el siguiente comando de la CLI bloquea todo el tráfico al punto de conexión público de la cuenta de almacenamiento. Establezca el parámetro --bypass como AzureServices para permitir que servicios propios de confianza, como Azure File Sync, accedan a la cuenta de almacenamiento a través del punto de conexión público.

# This assumes $storageAccountResourceGroupName and $storageAccountName
# are still defined from the beginning of this guide.
az storage account update \
    --resource-group $storageAccountResourceGroupName \
    --name $storageAccountName \
    --bypass "AzureServices" \
    --default-action "Deny" \
    --output none

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, establezca --public-network-access como Disabled en el recurso compartido de archivos.

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"

az fileshare update \
    --name $fileShareName \
    --resource-group $fileShareResourceGroupName \
    --public-network-access Disabled

Restricción del acceso al punto de conexión público a redes virtuales específicas

Al restringir la cuenta de almacenamiento a redes virtuales específicas, se permiten solicitudes al punto de conexión público desde las redes virtuales especificadas. Esta restricción se basa en una característica de la red virtual denominada puntos de conexión de servicio. Puede usar esta funcionalidad con o sin puntos de conexión privados.

Para recursos compartidos de archivos clásicos:

Vaya a la cuenta de almacenamiento donde desea restringir el punto de conexión público a redes virtuales específicas. En la tabla de contenido de la cuenta de almacenamiento, seleccione la entrada Redes.

En la parte superior de la página, seleccione la opción Habilitado en redes virtuales y direcciones IP seleccionadas . Esta selección revela una serie de opciones de configuración para controlar la restricción del punto de conexión público. Seleccione +Agregar red virtual existente para seleccionar la red virtual específica que debe permitirse acceder a la cuenta de almacenamiento a través del punto de conexión público. Seleccione una red virtual y una subred para esa red virtual y, luego, elija Habilitar.

Seleccione Permitir que los servicios de Azure de la lista de servicios de confianza accedan a esta cuenta de almacenamiento para permitir que servicios propios de Microsoft de confianza, como Azure File Sync, accedan a la cuenta de almacenamiento.

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares:

Vaya al recurso compartido de archivos donde desea restringir el acceso público. En el menú servicio, en Configuración, seleccione Configuración. En Acceso a red pública, seleccione Habilitado en redes virtuales seleccionadas, agregue las redes virtuales y subredes permitidas para acceder al recurso compartido y seleccione Guardar.

En el caso de los recursos compartidos de archivos clásicos, restrinja el acceso al punto de conexión público de la cuenta de almacenamiento a redes virtuales específicas mediante puntos de conexión de servicio. En primer lugar, recopile información sobre la cuenta de almacenamiento y la red virtual. Reemplace los valores de marcador de posición en los pasos siguientes por sus propios valores.

$storageAccountResourceGroupName = "<storage-account-resource-group>"
$storageAccountName = "<storage-account-name>"
$restrictToVirtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$restrictToVirtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$storageAccount = Get-AzStorageAccount `
        -ResourceGroupName $storageAccountResourceGroupName `
        -Name $storageAccountName `
        -ErrorAction Stop

$virtualNetwork = Get-AzVirtualNetwork `
        -ResourceGroupName $restrictToVirtualNetworkResourceGroupName `
        -Name $restrictToVirtualNetworkName `
        -ErrorAction Stop

$subnet = $virtualNetwork | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

if ($null -eq $subnet) {
    Write-Error `
            -Message "Subnet $subnetName not found in virtual network $restrictToVirtualNetworkName." `
            -ErrorAction Stop
}

Para permitir el tráfico procedente de la red virtual, la infraestructura de red de Azure debe exponer el punto de conexión de servicio Microsoft.Storage en la subred de la red virtual. Los siguientes comandos de PowerShell agregan el punto de conexión de servicio de Microsoft.Storage a la subred si aún no está allí.

$serviceEndpoints = $subnet | `
    Select-Object -ExpandProperty ServiceEndpoints | `
    Select-Object -ExpandProperty Service

if ($serviceEndpoints -notcontains "Microsoft.Storage") {
    if ($null -eq $serviceEndpoints) {
        $serviceEndpoints = @("Microsoft.Storage")
    } elseif ($serviceEndpoints -is [string]) {
        $serviceEndpoints = @($serviceEndpoints, "Microsoft.Storage")
    } else {
        $serviceEndpoints += "Microsoft.Storage"
    }

    $virtualNetwork = $virtualNetwork | Set-AzVirtualNetworkSubnetConfig `
            -Name $subnetName `
            -AddressPrefix $subnet.AddressPrefix `
            -ServiceEndpoint $serviceEndpoints `
            -WarningAction SilentlyContinue `
            -ErrorAction Stop | `
        Set-AzVirtualNetwork `
            -ErrorAction Stop
}

El último paso para restringir el tráfico a la cuenta de almacenamiento es crear una regla de red y agregarlo al conjunto de reglas de red de la cuenta de almacenamiento.

$networkRule = $storageAccount | Add-AzStorageAccountNetworkRule `
    -VirtualNetworkResourceId $subnet.Id `
    -ErrorAction Stop

$storageAccount | Update-AzStorageAccountNetworkRuleSet `
        -DefaultAction Deny `
        -Bypass AzureServices `
        -VirtualNetworkRule $networkRule `
        -WarningAction SilentlyContinue `
        -ErrorAction Stop | `
    Out-Null

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, puede pasar los id. de recurso de las subredes permitidas directamente a Update-AzFileShare mediante -AllowedSubnet. No es necesario configurar un punto de conexión de servicio o una regla de red independientes en la cuenta de almacenamiento.

# To learn more about the Az.FileShare module, see https://www.powershellgallery.com/packages/Az.FileShare/1.0.0
Install-Module -Name Az.FileShare -Repository PSGallery -RequiredVersion 1.0.0

$fileShareResourceGroupName = "<resource-group-name>"
$fileShareName = "<file-share-name>"
$virtualNetworkResourceGroupName = "<vnet-resource-group-name>"
$virtualNetworkName = "<vnet-name>"
$subnetName = "<subnet-name>"

$subnet = Get-AzVirtualNetwork `
        -ResourceGroupName $virtualNetworkResourceGroupName `
        -Name $virtualNetworkName | `
    Select-Object -ExpandProperty Subnets | `
    Where-Object { $_.Name -eq $subnetName }

Update-AzFileShare `
        -ResourceGroupName $fileShareResourceGroupName `
        -ResourceName $fileShareName `
        -AllowedSubnet @($subnet.Id)

storageAccountResourceGroupName="<storage-account-resource-group>"
storageAccountName="<storage-account-name>"
restrictToVirtualNetworkResourceGroupName="<vnet-resource-group-name>"
restrictToVirtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

storageAccount=$(az storage account show \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --query "id" --output tsv)

virtualNetwork=$(az network vnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --name $restrictToVirtualNetworkName \
        --query "id" --output tsv)

subnet=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

Para permitir el tráfico procedente de la red virtual, el tejido de red de Azure debe exponer el punto de conexión de servicio Microsoft.Storage a la subred de la red virtual. Los siguientes comandos de la CLI añaden el punto de conexión de servicio de Microsoft.Storage a la subred si todavía no está presente.

serviceEndpoints=$(az network vnet subnet show \
        --resource-group $restrictToVirtualNetworkResourceGroupName \
        --vnet-name $restrictToVirtualNetworkName \
        --name $subnetName \
        --query "serviceEndpoints[].service" \
        --output tsv)

foundStorageServiceEndpoint=false
for serviceEndpoint in $serviceEndpoints
do
    if [ $serviceEndpoint = "Microsoft.Storage" ]
    then
        foundStorageServiceEndpoint=true
    fi
done

if [ $foundStorageServiceEndpoint = false ]
then
    serviceEndpointList=""

    for serviceEndpoint in $serviceEndpoints
    do
        serviceEndpointList+=$serviceEndpoint
        serviceEndpointList+=" "
    done

    serviceEndpointList+="Microsoft.Storage"

    az network vnet subnet update \
            --ids $subnet \
            --service-endpoints $serviceEndpointList \
            --output none
fi

El último paso para restringir el tráfico a la cuenta de almacenamiento es crear una regla de red y agregarlo al conjunto de reglas de red de la cuenta de almacenamiento.

az storage account network-rule add \
        --resource-group $storageAccountResourceGroupName \
        --account-name $storageAccountName \
        --subnet $subnet \
        --output none

az storage account update \
        --resource-group $storageAccountResourceGroupName \
        --name $storageAccountName \
        --bypass "AzureServices" \
        --default-action "Deny" \
        --output none

Para los recursos compartidos de archivos creados con el proveedor de recursos Microsoft.FileShares, puede pasar los id. de recurso de las subredes permitidas directamente a az fileshare update mediante --allowed-subnets. No es necesario configurar un punto de conexión de servicio o una regla de red independientes en la cuenta de almacenamiento.

# Install the fileshare extension
az extension add --name fileshare

fileShareResourceGroupName="<resource-group-name>"
fileShareName="<file-share-name>"
virtualNetworkResourceGroupName="<vnet-resource-group-name>"
virtualNetworkName="<vnet-name>"
subnetName="<subnet-name>"

subnetId=$(az network vnet subnet show \
        --resource-group $virtualNetworkResourceGroupName \
        --vnet-name $virtualNetworkName \
        --name $subnetName \
        --query "id" --output tsv)

az fileshare update \
        --name $fileShareName \
        --resource-group $fileShareResourceGroupName \
        --allowed-subnets $subnetId

Consulte también

Comentarios

¿Le ha resultado útil esta página?

Last updated on 2026-06-17

Configuración de puntos de conexión de red para acceder a recursos compartidos de archivos de Azure

Requisitos previos

Configuraciones de punto de conexión

Creación de un punto de conexión privado

Experiencia clásica frente a nuevo recurso compartido de archivos

Verificación de la conectividad

Restricción del acceso al punto de conexión público

Deshabilitación del acceso al punto de conexión público

Restricción del acceso al punto de conexión público a redes virtuales específicas

Consulte también

Comentarios

Recursos adicionales