Azure

Azure Service Endpoint (Dienstendpunkt)

Overview

Ein Service Endpoint wird pro Subnetz und Dienst aktiviert, etwa Microsoft.Storage oder Microsoft.Sql. Danach verwenden VMs im Subnetz beim Zugriff auf diesen Dienst ihre private Adresse als Quell-IP, und der Verkehr bleibt im Azure-Backbone. Auf der Seite des Dienstes lässt sich die Firewall so einstellen, dass nur noch dieses Subnetz zugreifen darf.

Der Dienst behält dabei seinen öffentlichen Endpunkt und seine öffentliche DNS-Auflösung. Unterstützt werden unter anderem Azure Storage, Azure SQL Database, Cosmos DB, Key Vault, Service Bus, Event Hubs, App Service und Container Registry.

Microsoft empfiehlt für neue Bereitstellungen Private Endpoints, weil diese eine private IP im eigenen VNet bereitstellen und auch aus lokalen Netzen funktionieren. Service Endpoints bleiben eine einfache, kostenlose Option für reinen Azure-internen Verkehr.

How it works

Was beim Aktivieren passiert:

  1. Auf dem Subnetz wird der Endpunkt für einen Dienst eingeschaltet, dafür ist die Berechtigung joinViaServiceEndpoint auf dem Subnetz nötig.
  2. Azure ergänzt eine Route mit dem Next-Hop-Typ VirtualNetworkServiceEndpoint, die für die Adresspräfixe des Dienstes BGP- und benutzerdefinierte Routen übersteuert.
  3. Die Quell-IP wechselt von öffentlich auf privat, bestehende TCP-Verbindungen zum Dienst werden dabei kurz getrennt.
  4. In der Firewall der Zielressource wird eine VNet-Regel für das Subnetz angelegt, öffentlicher Zugriff kann dann abgeschaltet werden.

Service-Endpoint-Richtlinien beschränken den Zugriff zusätzlich auf bestimmte Ressourcen, etwa nur ein freigegebenes Storage-Konto, und erschweren so Datenabfluss.

Benefits

  • Schnell eingerichtet, ohne DNS-Anpassungen oder zusätzliche Netzwerkschnittstellen
  • Kostenlos, es fällt nur der normale Preis des Zieldienstes an
  • Verkehr bleibt im Azure-Backbone, auch wenn Internetverkehr per Forced Tunneling umgeleitet wird
  • Öffentlicher Zugriff auf die Ressource lässt sich auf ausgewählte Subnetze einschränken

Practical example

Ein Händler für Ersatzteile betreibt eine Webanwendung auf VMs, die Bilder aus einem Storage-Konto lädt. Bisher war das Konto öffentlich erreichbar. Die IT aktiviert einen Service Endpoint für Microsoft.Storage auf dem Anwendungssubnetz, erlaubt in der Storage-Firewall nur dieses Subnetz und sperrt den übrigen öffentlichen Zugriff. Die Anwendung funktioniert unverändert weiter, Zugriffe aus dem Internet werden abgewiesen.

Things to keep in mind

  • Der Dienst bleibt öffentlich adressierbar, für strenge Isolation und Zugriff aus lokalen Netzen Private Endpoints verwenden
  • Bestehende IP-Firewallregeln auf der Zielressource vor dem Aktivieren anpassen, weil die Quell-IP wechselt
  • Aktivierung trennt bestehende Verbindungen, deshalb in einem Wartungsfenster schalten
  • Bei Azure SQL gilt der Endpunkt nur innerhalb der Region des VNets
  • Service-Endpoint-Richtlinien nutzen, um Datenabfluss zu beliebigen fremden Storage-Konten zu verhindern

Licensing & availability

Ohne Aufpreis, es gelten nur die regulären Preise des Zieldienstes. Stand: Oktober 2026.

Conclusion

Service Endpoints sind ein schneller, kostenloser Schutz für PaaS-Zugriffe aus Azure-Subnetzen. Für neue Umgebungen und hybride Zugriffe sind Private Endpoints die bessere Wahl.

Further reading

Related articles