Azure Network Security Perimeter zieht eine logische Netzwerkgrenze um PaaS-Ressourcen, die außerhalb virtueller Netzwerke betrieben werden.
Was ist Azure Network Security Perimeter?
Azure Network Security Perimeter erstellt logische Netzwerkgrenzen um Platform-as-a-Service-Ressourcen, die außerhalb Ihrer virtuellen Netzwerke bereitgestellt sind. Damit steuern Sie den öffentlichen Netzwerkzugriff auf Ressourcen wie Azure Storage Accounts und Azure Key Vault über einen abgesicherten Perimeter.
Standardmäßig schränkt ein Network Security Perimeter den öffentlichen Zugriff auf die PaaS-Ressourcen innerhalb der Grenze ein. Ausnahmen gewähren Sie über explizite Zugriffsregeln für ein- und ausgehenden Verkehr. Dieser Ansatz hilft, Datenabfluss zu verhindern, ohne die für Ihre Anwendungen notwendige Konnektivität zu verlieren.
Abgrenzung zu Private Link: Für Zugriffsmuster, bei denen Traffic aus virtuellen Netzwerken zu PaaS-Ressourcen fließt, verweist Microsoft auf Azure Private Link. Network Security Perimeter adressiert dagegen die Kommunikation von PaaS-Diensten, die außerhalb des virtuellen Netzwerks bereitgestellt sind.
Kernfunktionen
- Kommunikation innerhalb des Perimeters: Ressource-zu-Ressource-Zugriff zwischen Perimeter-Mitgliedern, wodurch Datenabfluss an nicht autorisierte Ziele verhindert wird
- Verwaltung des externen Zugriffs: explizite Regeln für PaaS-Ressourcen, die dem Perimeter zugeordnet sind
- Zugriffsprotokolle: Protokollierung für Audit- und Compliance-Zwecke
- Einheitliche Bedienung: konsistentes Vorgehen über verschiedene PaaS-Ressourcen hinweg
- Profile: Gruppierung von PaaS-Ressourcen mit gleichen Anforderungen an ein- und ausgehenden Zugriff
- Private Endpoints: Private-Endpoint-Traffic ist ohne explizite Zugriffsregeln zulässig
Typische Anwendungsfälle
Verhinderung von Datenabfluss
Der von Microsoft zuerst genannte Zweck: PaaS-Ressourcen werden dem Perimeter zugeordnet, wodurch Abflüsse an nicht autorisierte Ziele unterbunden werden.
Zentrale Regelverwaltung
Statt Firewall-Einstellungen je Dienst zu pflegen, werden Zugriffsregeln für alle PaaS-Ressourcen im Perimeter an einer Stelle verwaltet.
Kontrollierte Öffnung nach außen
Eingehender öffentlicher Zugriff wird über Netzwerk- und Identitätsattribute des Clients freigegeben, etwa Quell-IP-Adressen oder Subscriptions; ausgehender über FQDNs der externen Ziele.
Schrittweise Einführung
Der Transition Mode erlaubt es, bestehende Zugriffsmuster zunächst zu beobachten, bevor der Enforced Mode aktiviert wird.
Audit-Nachweise
Über Diagnostics Settings entstehen Zugriffsprotokolle der PaaS-Ressourcen im Perimeter.
Vorteile
- Schutz für PaaS-Dienste, die naturgemäß außerhalb des virtuellen Netzwerks liegen
- Deny-by-default im Enforced Mode statt selektiver Einzelfreigaben
- Ein Bedienmodell über verschiedene PaaS-Dienste hinweg
- Gefahrloser Einstieg über den Transition Mode
- Kombinierbar mit Private Endpoints ohne zusätzliche Regeln
Integration mit innFactory
Als indirekter Microsoft-CSP-Partner unterstützt innFactory Sie beim Entwurf und der Einführung von Network Security Perimetern: Schnitt der Perimeter und Profile, Definition der Zugriffsregeln, Auswertung der Beobachtungen aus dem Transition Mode und die Berücksichtigung der dokumentierten Einschränkungen, etwa im Zusammenspiel mit Microsoft Sentinel oder Azure Backup.
Die Einbettung in eine übergreifende Netzwerk- und Governance-Architektur beschreiben wir im Beitrag zu Azure Landing Zones.
Kontaktieren Sie uns für eine unverbindliche Beratung zur Absicherung von PaaS-Ressourcen auf Microsoft Azure.
Typische Anwendungsfälle
Technische Spezifikationen
Häufig gestellte Fragen
Ist Network Security Perimeter allgemein verfügbar?
Microsoft hält fest: „Network security perimeter is now generally available in all Azure public cloud regions and in Azure Government regions (US Gov Virginia, US Gov Texas, US Gov Arizona, US DoD East and US DoD Central).“ Für einzelne angebundene Dienste gilt jedoch weiterhin Public Preview, konkret für Cosmos DB, SQL DB und den Azure OpenAI Service.
Was passiert nach dem Aktivieren des Perimeters?
Wenn ein Network Security Perimeter erstellt und PaaS-Ressourcen ihm im Enforced Mode zugeordnet werden, wird sämtlicher öffentlicher Traffic standardmäßig verweigert; damit wird Datenabfluss außerhalb des Perimeters verhindert. Ausnahmen erlauben Sie über explizite Zugriffsregeln für ein- und ausgehenden Verkehr.
Welche Zugriffsmodi gibt es?
Zwei. Der Transition Mode, vormals Learning Mode, ist der Standardmodus und hilft Netzwerkadministratoren, die bestehenden Zugriffsmuster ihrer PaaS-Ressourcen zu verstehen; Microsoft empfiehlt ihn vor dem Wechsel in den Enforced Mode. Im Enforced Mode wird außer perimeterinternem Traffic standardmäßig alles verweigert, sofern keine Allow-Regel existiert.
Welche Regeltypen werden unterstützt?
Für eingehenden Verkehr abonnementbasierte Regeln und IP-basierte Regeln, für ausgehenden Verkehr FQDN-basierte Regeln. Ergänzend kann der Perimeter über Standard Service Endpoints eingehenden Traffic anhand von Network Identifiers autorisieren, also öffentlichen IP-Adressen oder Präfixen von Service-Endpoint-Subnetzen.
Welche Dienste lassen sich einem Perimeter zuordnen?
Allgemein verfügbar sind laut Microsoft Azure Monitor, Azure AI Search, Event Hubs, Key Vault, Storage, Microsoft Foundry und Azure Service Bus. In Public Preview befinden sich Cosmos DB, SQL DB und der Azure OpenAI Service.
Welche Einschränkungen sind zu beachten?
Microsoft nennt unter anderem: Network Security Perimeters werden für Log Analytics Workspaces mit aktiviertem Microsoft Sentinel nicht unterstützt, Azure Backup wird für Storage Accounts mit Network Security Perimeter nicht unterstützt, Service-Endpoint-Traffic wird nicht unterstützt, und Ressourcennamen dürfen 44 Zeichen nicht überschreiten. Zudem gelten Skalierungsgrenzen wie bis zu 200 Regelelemente je Richtung und Profil.
Hinweis: Alle Produktinformationen auf dieser Seite wurden sorgfältig zusammengestellt, sind jedoch ohne Gewähr und können veraltet oder unvollständig sein. Cloud-Services entwickeln sich schnell weiter — Funktionen, Preise, SLAs und Verfügbarkeit ändern sich laufend. Verbindliche und aktuelle Informationen finden Sie ausschließlich auf der offiziellen Produktseite von Azure (offizielle Dokumentation). Diese Seite stellt kein Angebot von Azure dar.
