Which URLs must be allowed on a firewall to use the new Microsoft Purview portal fully privately (private endpoints only)?

안녕하세요. @Yu-Jeong Seo

방화벽 문제와 관련하여 문의해 주셔서 감사합니다. 현재 해당 문제를 검토하고 있으며, 가능한 한 빨리 관련 제안 사항을 안내해 드리겠습니다.

안녕 하세요 @Anonymous
새로운 Microsoft Purview 포털의 문서화된 아키텍처에 따르면, purview.microsoft.com이 동작은 다음과 같이 설명할 수 있습니다.

Q1. 플랫폼 프라이빗 엔드포인트가 새로운 Purview 포털에 충분한가요?

네. 새로운 Purview 포털의 문서화된 프라이빗 연결 모델은 Platform 프라이빗 엔드포인트와 프라이버시 스캔/인제스팅이 필요한 인제스팅 프라이빗 엔드포인트를 기반으로 합니다.

포털 프라이빗 엔드포인트는 전통적인 Purview 거버넌스 포털()과 연관되어 web.purview.azure.com있으며, 단순히 새로운 경험에 접근하기 위해 필수는 아닙니다 purview.microsoft.com .

따라서 새로운 포털 문제를 해결하기 위해 포털 프라이비드 엔드포인트를 배포하는 것은 권장되는 접근법이 아닙니다.

플랫폼 프라이빗 엔드포인트가 올바르게 구성되어 있고, 다음과 같은 조건이 있다면:

<tenant-object-id>-api.purview-service.microsoft.com

프라이빗 엔드 IP 주소로 해석되며, 추가 프라이빗 엔드포인트를 조사하기 전에 TCP/443 연결성을 검증해야 합니다.

예를 들어:

nslookup <tenant-object-id>-api.purview-service.microsoft.com

Test-NetConnection <tenant-object-id>-api.purview-service.microsoft.com -Port 443

DNS 쿼리는 플랫폼 프라이빗 엔드포인트와 연관된 사설 IP를 반환해야 하며, TcpTestSucceeded 반환해야 합니다 True.

이 체크가 성공했지만 새 포털에 다음과 같은 메시지가 표시된다면:

권한 불러오지 않음 AxiosError: 네트워크 오류

특히 Microsoft Edge에서는 이 문제가 브라우저 로컬 네트워크 접근(LNA) 제한과 관련이 있을 수 있습니다. 새로운 포털은 공용 출처()로 호스팅되며purview.microsoft.com, 테넌트별 Purview API는 개인 RFC1918 주소로 해결됩니다. 현대의 브라우저 보안 통제는 이러한 요청을 제한할 수 있습니다.

유용한 진단 방법은 Firefox에서 포털을 테스트하는 것입니다. 포털이 Firefox에서는 작동하지만 Edge에서 동일한 API 요청이 실패한다면, 이는 Purview 프라이빗 엔드포인트가 없는 것이 아니라 브라우저 측 LNA 제한을 강하게 나타냅니다.

관리형 엣지 환경의 경우, Microsoft는 보안 기능을 전 세계적으로 비활성화할 필요 없이 로컬 네트워크 접근을 제어하는 기업 정책을 제공합니다.

Q2. 어떤 FQDN(FQDN)이 방화벽을 통과할 수 있어야 하나요?

모든 브라우저 의존성을 포괄하는 Purview 전용 방화벽 목록은 없습니다. 필요한 연결성은 Purview 엔드포인트와 공유 Microsoft 인증/Microsoft 365 의존성 모두로 구성됩니다.

새로운 Purview 포털/프라이비시 구성에서, 마이크로소프트가 문서화한 Purview 전용 엔드포인트는 다음과 같습니다:

api.purview-service.microsoft.com
<tenant-id>-api.purview-service.microsoft.com
<account-name>.purview.azure.com

포털 자체는 다음과 같습니다:

purview.microsoft.com

TCP/443은 환경에 적용되는 경우 이러한 엔드포인트에 대해 허용되어야 합니다.

클래식 포털이 여전히 사용 중이라면, 해당 클래식 포털 엔드포인트도 접근 가능해야 할 수 있습니다:

web.purview.azure.com

또한 브라우저 인증은 Microsoft Entra ID 및 기타 Microsoft 365 의존성에 연결되어야 합니다. 이러한 서비스는 Purview 프라이빗 엔드포인트를 통해 제공되지 않습니다.

IP 기반 방화벽 필터링의 경우, 마이크로소프트는 수동 IP 주소 목록을 수동으로 유지하는 대신 마이크로소프트가 공개한 현재 Microsoft 365 URL과 IP 주소 범위를 사용할 것을 권장합니다.

따라서 가장 안전한 접근법은 다음과 같습니다:

1. 새 포털에서 요구하는 문서화된 Purview FQDN 허용.
2. 필요한 Microsoft Entra ID/Microsoft 365 의존성을 허용하세요.
3. 다음 프라이빗 DNS 설정:

privatelink.purview-service.microsoft.com

1. 프라이빗 DNS 존이 Azure VNet과 S2S VPN을 통한 온프레미스 네트워크 모두에서 해석 가능한지 확인하세요.
2. 실제 클라이언트 머신에서 DNS와 TCP/443 연결성을 검증하세요.

국가 서비스 제한 조치에 대해, Microsoft는 상황에 따라 AzureActiveDirectory와 AzureResourceManager 등 관련 Azure 서비스 태그도 문서화합니다.

Q3. UI res.cdn.office.net 요소를 수정하는 것은 무엇이며 왜 허용되나요?

res.cdn.office.net 마이크로소프트가 호스팅하는 CDN 엔드포인트로, Microsoft 365/Office 웹 자원을 공유하는 데 사용됩니다.

새로운 Purview 포털은 Microsoft 365 웹 경험의 구성 요소를 사용합니다. 따라서 애플리케이션 셸의 일부, 아이콘, 계정 관련 UI 요소와 같은 자원은 Microsoft 365 CDN 리소스에 의존할 수 있습니다.

이는 다음과 같은 관찰된 행동을 설명합니다:

• Purview 포털 자체가 로드됩니다;
• 계좌 카드는 나타나지 않습니다;
• 몇몇 아이콘이 누락되어 있습니다; 그리고
• 허용 res.cdn.office.net 하면 해당 요소들이 올바르게 렌더링됩니다.

res.cdn.office.net 는 Purview 프라이빗 엔드포인트가 아니며, Purview 플랫폼의 프라이비시 엔드포인트는 이 CDN 자원에 대한 프라이빗 연결을 제공하지 않습니다.

따라서 조직의 요구사항이 Microsoft 365 서비스에 대한 통제된 아웃바운드 접근을 허용한다면, Microsoft 365 엔드포인트 문서를 사용하여 적절한 허용 엔드포인트 집합을 결정해야 합니다. 특히, 이는 res.cdn.office.net Purview 프라이빗 엔드포인트 구성보다는 Microsoft의 더 넓은 Office/Microsoft 365 엔드포인트 요구사항에 해당합니다.

추천 아키텍처:

명시된 요구사항에 대해, 결과 아키텍처는 다음과 같아야 합니다:

On-premises network
       |
       | S2S VPN
       |
Azure VNet
       |
       +---- Private DNS
       |      privatelink.purview-service.microsoft.com
       |
       +---- Purview Platform Private Endpoint
       |
       +---- Purview Ingestion Private Endpoint(s)
       |
       +---- Managed VNet IR
               |
               +---- Managed Private Endpoints
                      |-- Azure Databricks
                      |-- Azure Key Vault
                      |-- Other supported sources

브라우저는 여전히 Microsoft Entra 인증 및 필요한 Microsoft 365/CDN 자원과 같은 Purview 사설 엔드포인트 외부의 Microsoft 호스팅 서비스에 대한 접근이 필요합니다.

결론

플랫폼 프라이비시 엔드포인트는 새로운 Purview 포털의 올바른 프라이빗 연결 메커니즘입니다; 새 포털이 .을 표시한다고 해서 포털 프라이비시 엔드포인트를 추가해서는 안 됩니다 AxiosError: Network Error.

테넌트별 Purview API가 사설 IP로 해결되고 TCP/443 연결이 성공했지만, 포털이 Firefox에서는 작동하고 Edge에서는 실패한다면, Microsoft Edge 로컬 네트워크 접근 제한을 조사해 보세요.

마찬가지로, res.cdn.office.net Purview 프라이버시 엔드포인트가 아니라 Microsoft 365 CDN 의존성으로 취급해야 합니다. 이 기능이 없다는 점이 아이콘이나 계정 카드 같은 쉘 요소가 누락된 것을 설명할 수 있습니다.

마지막으로, 방화벽 설정의 경우, Purview 문서와 Microsoft 365 URL 및 IP 주소 범위 문서를 함께 사용하여 단일 Purview 전용 FQDN 목록에 의존하지 마세요. 이는 브라우저 경험이 Purview 프라이빗 엔드포인트 외부에 의존하기 때문입니다.

Hi @Yu-Jeong Seo
I hope you had a chance to review the information shared earlier, and I hope this information has been helpful! If you still have questions, please let us know what is needed in the comments so the question can be answered

@Pilladi Padma Sai Manisha Hello, Thank you for the answer. Initially, when only the platform private endpoint was created, access was attempted using Firefox, but normal access failed identically. Additionally, the Test-NetConnection command returned True, but DNS resolution failed. (This test was executed on a VM sharing the same VNet as Purview.) Therefore, a portal private endpoint was created, and since then, access has been functioning normally regardless of whether Chrome or Edge is used.

Thank you for providing the additional details.

Based on the current findings, the issue appears to be related to DNS resolution for the Microsoft Purview private endpoint. Although Test-NetConnection succeeds, the failed nslookup indicates that the required DNS record may be missing or not correctly linked to the VNet.

Could you please verify the following:

• Confirm that the Web A record exists in the privatelink.purview-service.microsoft.com private DNS zone.
• Confirm that the private DNS zone is linked to the VNet from which the portal is accessed.
• Run nslookup for the Purview endpoint and confirm that it resolves to the expected private IP.
• Re-test connectivity after completing the DNS validation.

Please share the results with us so we can proceed with the next steps.