Azure

Azure Private Link und Private Endpoint

Allgemeine Infos

Azure Private Link bringt einen Dienst in Dein VNet: Ein Private Endpoint ist eine Netzwerkschnittstelle mit privater IP aus Deinem Subnetz, die mit genau einer Ressource und Unterressource verbunden ist, etwa dem Blob-Dienst eines Storage-Kontos oder einem SQL-Server. Clients im VNet, in gepeerten VNets und in per VPN oder ExpressRoute verbundenen lokalen Netzen erreichen den Dienst dann über diese private IP.

Der öffentliche Zugriff auf die Ressource wird dadurch nicht automatisch gesperrt, das musst Du in der Ressource selbst abschalten. Ist das geschehen, ist der Dienst nur noch privat erreichbar.

Mit Private Link Service stellst Du eigene Dienste hinter einem Standard Load Balancer für andere Tenants bereit. Abzugrenzen sind Service Endpoints, bei denen der Dienst seine öffentliche IP behält.

Funktionsweise & Details

Bestandteile und Ablauf:

  1. Private Endpoint im Subnetz anlegen und Zielressource sowie Unterressource wählen (zum Beispiel blob, file, sqlServer, vault). Jede Unterressource braucht einen eigenen Endpoint.
  2. Genehmigung: automatisch, wenn Du Rechte auf der Zielressource hast, sonst manuell durch den Ressourcenbesitzer. Nur Endpoints im Status Approved übertragen Daten.
  3. DNS: Die öffentliche FQDN wird per CNAME auf eine privatelink-Zone umgeleitet. Eine private DNS-Zone wie privatelink.blob.core.windows.net, mit dem VNet verknüpft, löst sie auf die private IP auf. Lokale DNS-Server brauchen dafür eine bedingte Weiterleitung, etwa über Azure DNS Private Resolver.
  4. Netzwerkrichtlinien für Private Endpoints aktivieren, damit NSGs, UDRs und ASGs auf dem Endpoint greifen.

Die Verbindung ist einseitig: Nur Clients können Verbindungen zum Endpoint aufbauen, nicht umgekehrt.

Vorteile & Nutzen

  • Kein öffentlicher Zugriff mehr nötig, PaaS-Dienste verhalten sich wie interne Server
  • Zugriff auch aus lokalen Netzen über VPN oder ExpressRoute
  • Schutz vor Datenabfluss, weil der Endpoint nur auf eine konkrete Ressource zeigt
  • Zentrale Kontrolle über NSGs und Routen wie bei VMs

Praxisbeispiel

Ein Hersteller von Messgeräten verlagert seine Dateiablage auf Azure Files und die Produktionsdatenbank auf Azure SQL. Beide erhalten Private Endpoints im Hub-VNet, der öffentliche Zugriff wird deaktiviert. Die IT legt private DNS-Zonen an und richtet auf den lokalen Domänencontrollern bedingte Weiterleitungen zum Azure DNS Private Resolver ein. Mitarbeitende im Werk greifen über das Site-to-Site-VPN auf die Freigaben zu, aus dem Internet sind die Dienste nicht mehr erreichbar.

Worauf sollte man achten?

  • DNS ist die häufigste Fehlerquelle: private DNS-Zonen zentral im Hub verwalten und lokale Weiterleitungen vor dem Umschalten testen
  • Pro Ressource möglichst nur einen Private Endpoint in einer DNS-Konfiguration verwenden, sonst überschreiben sich Einträge
  • Öffentlichen Netzwerkzugriff der Ressource explizit deaktivieren, der Endpoint allein sperrt nichts
  • Für Storage-Konten ist General Purpose v2 Voraussetzung, für jede Unterressource fällt ein eigener Endpoint an
  • Netzwerkrichtlinien aktivieren, wenn NSGs oder Routen auf den Endpoint wirken sollen

Lizenz & Verfügbarkeit

Private Endpoints werden nach Bereitstellungsstunden und verarbeitetem Datenvolumen abgerechnet. Private DNS-Zonen und DNS Private Resolver verursachen eigene Kosten. Stand: Oktober 2026.

Fazit

Private Endpoints sind der Standard für eine sichere PaaS-Anbindung, besonders in hybriden Umgebungen. Plane die DNS-Auflösung von Anfang an mit.

Weiterführende Links

Verwandte Artikel