Accès Azure Key Vault bloqué après restriction du réseau public

Question

Accès Azure Key Vault bloqué après restriction du réseau public

Chloe Moreau 20

Bonjour,

Nous avons un environnement applicatif d'entreprise déployé sur nos postes clients Windows for Business et nos serveurs locaux, qui consommait jusqu'ici des secrets et certificats hébergés sur un Azure Key Vault configuré avec un accès réseau public. Nous avons récemment renforcé nos politiques de sécurité pour isoler cette ressource et basculer l'ensemble de notre trafic via des liaisons privées.

L'accès de nos applications d'entreprise est désormais bloqué avec l'erreur ForbiddenByFirewall : « Public network access is disabled and request did not originate from an authorized private endpoint ». Je souhaite donc savoir comment reconfigurer l'intégration de la zone DNS privée (privatelink.vaultcore.azure.net) et les liaisons de réseau virtuel afin de permettre à nos postes et services Windows de résoudre correctement le Private Endpoint et rétablir l'accès aux secrets.

0 commentaires

1 réponse

Votre réponse

Answer 1

Bonjour Chloe Moreau,

L'erreur ForbiddenByFirewall indique généralement que les applications atteignent encore l'endpoint public du Key Vault alors que l'accès réseau public a été désactivé. Lorsque Private Endpoint est utilisé, la résolution DNS doit renvoyer l'adresse IP privée associée au coffre.

Je vérifierais d'abord que le Private Endpoint est correctement associé à une zone DNS privée privatelink.vaultcore.azure.net et que cette zone est liée au réseau virtuel utilisé. Ensuite, il faut s'assurer que les serveurs DNS locaux peuvent résoudre les enregistrements hébergés dans cette zone, soit via Azure DNS Private Resolver, soit via l'infrastructure DNS hybride déjà en place.

Sur un poste concerné, exécutez Resolve-DnsName <nom-du-coffre>.vault.azure.net. Si la résolution retourne encore une adresse publique, le problème est très probablement lié à la configuration DNS plutôt qu'à Key Vault lui-même. Pouvez-vous préciser comment les postes locaux résolvent actuellement les zones DNS Azure (Private Resolver, DNS forwarder ou autre solution) ? Si cette réponse vous aide, merci de l'accepter.

Tracy Le.