Azure Private Endpoint

Définition

Un Azure Private Endpoint est une interface réseau dans un VNet Azure qui connecte un service PaaS Azure (Storage Account, Azure SQL, Cosmos DB, Key Vault, etc.) au réseau virtuel privé via une adresse IP privée. Grâce au Private Endpoint, le trafic vers ce service n'emprunte jamais le réseau Internet public : il reste entièrement dans le réseau backbone Microsoft Azure entre le VNet et le service PaaS. Les Private Endpoints résolvent un problème majeur de la sécurité réseau Azure PaaS : par défaut, les services PaaS Azure ont des endpoints publics accessibles depuis Internet (storage.blob.core.windows.net, etc.). Même avec les IP allowlists et les Service Endpoints VNet, le trafic sort du VNet vers l'adresse IP publique du service. Avec Private Endpoint, le service est accessible via une adresse IP privée dans votre VNet, le trafic ne quittant jamais le réseau Azure. La configuration d'un Private Endpoint implique : la création du Private Endpoint dans un subnet du VNet, la configuration DNS (Private DNS Zone liée au VNet pour résoudre le nom du service vers l'IP privée plutôt que l'IP publique), et optionnellement la désactivation de l'accès depuis les réseaux publics sur le service PaaS (Network Firewall du service configuré pour n'accepter que le Private Endpoint). Le Private DNS est critique pour le fonctionnement des Private Endpoints : sans configuration DNS privée, les applications résoudront toujours le nom du service vers son IP publique, contournant le Private Endpoint. Les Private DNS Zones Azure (privatelink.blob.core.windows.net, privatelink.vaultcore.azure.net, etc.) sont liées aux VNets et remplacent les résolutions DNS publiques par des résolutions pointant vers les IPs privées des Private Endpoints. Les Private Endpoints doivent être créés dans chaque VNet nécessitant l'accès privé au service PaaS (pas de VNet Peering natif pour les Private Endpoints). Pour les architectures Hub-and-Spoke, les Private Endpoints sont généralement créés dans le Hub VNet et les Spoke VNets accèdent aux services via le peering Hub-Spoke.