Cuenta de almacenamiento privada en Azure VNet

Curso de Fundamentos de Microsoft Azure (AZ-900)

Contenido del curso

Fundamentos de la nube y Azure

Microsoft Azure Fundamentos

Modelos de servicio

Alta disponibilidad y organización de recursos

Seguridad y gobernanza en Azure

Soluciones de cómputo y redes

Almacenamiento y acceso seguro

Herramientas avanzadas de seguridad

Automatización y despliegue de recursos

Arquitectura sin servidor

39
Qué es serverless y cómo funciona en Azure
05:08 min

Tomar examen

Cursos Empresas Blog Live Conf Eventos Precios

0:0016:52

Cuenta de almacenamiento privada en Azure VNet

Curso de Fundamentos de Microsoft Azure (AZ-900)

Clase 30 de 39

Clase 30 / 39

Comentarios (7)7 comentarios

Cindy Arenas

Hace 2 años

hola. el recurso de la clase no se encuentra agregado en el repositorio.

Amin Espinoza

Profesor

Hace un año

No puede ser! Por alguna razón se me fue este comentario, ya lo reviso.

Diego Alejandro Lesmes

Hace 8 meses

✅ Luis las compartio en este comentario https://platzi.com/discusiones/az-900/5417269-dejo-los-comandos-ya-que-en-el-repo-git-no-estan-js-crear-un-grupo-de-recursos-az-group-create-name-grupoalmacenamientoprivado-location-eastus2-crea-una-cuenta-de-almacenamiento-con-acceso-denegado-publico-az-storage-account-create-name-platziprivado-reso/

Luis Enrique Huamán Quispe

Hace un año

Dejo los comandos ya que en el repo git no estan

# Crear un grupo de recursos
az group create --name grupoAlmacenamientoPrivado --location "eastus2"

# Crea una cuenta de almacenamiento con acceso denegado publico
az storage account create --name platziprivado --resource-group grupoAlmacenamientoPrivado --location eastus2 --sku Standard_LRS --kind StorageV2 --access-tier Hot --default-action Deny

# Crear una red virtual y subred
az network vnet create --name platzi-vnet --resource-group grupoAlmacenamientoPrivado --location eastus2 --address-prefix 10.0.0.0/16 --subnet-name platzi-subred --subnet-prefix 10.0.0.0/24

# Actualiza el tipo de endpoint de la subred para Azure Storage (disponibiliza)
az network vnet subnet update --name platzi-subred --vnet-name platzi-vnet --resource-group grupoAlmacenamientoPrivado --service-endpoints Microsoft.Storage

# Agregar una regla de acceso para que solo la subred pueda acceder a la cuenta de almacenamiento
az storage account network-rule add --resource-group grupoAlmacenamientoPrivado --account-name platziprivado --vnet-name platzi-vnet --subnet platzi-subred

# Comando para crear una máquina virtual en la misma Vnet
az vm create --resource-group grupoAlmacenamientoPrivado --name vm-platzi-endpoint --vnet-name platzi-vnet --subnet platzi-subred --image Ubuntu2404 --admin-username azureuser --generate-ssh-keys --output none

# Muestra la IP de la maquina virtual
VM_PUBLIC_IP=$(az vm list-ip-addresses --resource-group grupoAlmacenamientoPrivado --name vm-platzi-endpoint --query "[].virtualMachine.network.publicIpAddresses[*].ipAddress" --output tsv)

# Permite el acceso a la cuenta de almacenamiento desde la Ip publica de la VM
az storage account network-rule add --resource-group grupoAlmacenamientoPrivado --account-name platziprivado --ip-address $VM_PUBLIC_IP

# obtener el key de acceso de la cuenta de almacenamiento
STORAGE_KEY=$(az storage account keys list --account-name platziprivado --resource-group grupoAlmacenamientoPrivado --query "[0].value" -o tsv)

# mostrar la credenciales de la VM de ubunto
echo "ssh azureuser@VM_PUBLIC_IP"

#en la maquina virtual instalar lo siguiente:
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

#Prueba de integridad
# Crear un contenedor en la cuenta de almacenamiento desde mi local (nose va poder porque la vnet solo le da permiso a la VM)
az storage container create --name prueba-conectividad --account-name platziprivado --account-key $STORAGE-KEY

john castaño

Hace 9 meses

hola profe Amin el recurso de esta clase todavía no esta agregado al repositorio actualmente

Esteban Bastías B.

Hace 7 meses

Rafael Aguilar

Hace 10 meses

era necesario agregar la ip publica de la VM para el acceso al Storage Account si ambos se encuentran en la misma sub red?

Juan Fonseca

Hace un año

Si tienen el problema de crear la MV por el size con el que se crea por default, usen este comando para saber que sizes hay disponibles en eastus2 (toca ahí porque la net está creada ahí)

az vm list-skus --location eastus2 --size Standard_D --all --output table
```En mi caso me funcionó `Standard_D2alds_v6`

Juan Fonseca

Hace un año

Pd: A lo mejor era por interactuar más con azure, pero el comando de agregar la ip de la MV a las reglas del storage account es innecesaria, pues la primera regla dice que cualquiera que esté dentro de la subnet se puede conectar, y ajá la MV se creó ahí

Aquí pensando puede ser por el principio zero trust, en lo peronal se me hace un tris desgastante pero bueno, dejo el comentario por si alguien más se lo preguntó =D

Recursos

Configurar una cuenta de almacenamiento privada en Azure significa restringir su acceso a una red virtual específica, una subred concreta y hasta una dirección IP definida. Este flujo consolida lo que ya sabes sobre niveles de acceso, redes virtuales y máquinas virtuales en un solo ambiente seguro, ideal si trabajas con datos sensibles o cargas que no deben quedar expuestas a internet.

La idea es simple: niegas todo el tráfico por defecto y luego abres puertas muy específicas. Vamos paso a paso.

¿Cómo se crea una cuenta de almacenamiento privada con Azure CLI?

Todo arranca en la terminal con el archivo comandos.sh del repositorio del curso. La secuencia parte del grupo de recursos y avanza hacia la cuenta restringida.

Al crear la cuenta de almacenamiento aparecen tres parámetros clave que cambian el juego [2:00]:

Tipo premium: una categoría más evolucionada que el estándar.
Nivel de acceso hot: pensado para datos de uso frecuente.
Default action en deny: bloquea el acceso directo y obliga a definir reglas explícitas para entrar.

Con default-action deny la cuenta deja de aceptar el típico acceso público. Nadie entra hasta que tú lo autorices, ni siquiera tú desde tu equipo local.

¿Qué hace el parámetro default action deny en una storage account? Bloquea por defecto cualquier conexión a la cuenta de almacenamiento. Solo entran los recursos o IPs que agregues como excepción mediante reglas de red.

¿Cómo configurar una subred con service endpoint para Storage?

Después de la cuenta viene la red. Creas una vnet con network vnet create y dentro defines una subred llamada Platzi subred con su prefijo de IPs [3:30].

Aquí entra un comando distinto: network vnet subnet update. No es creación, es actualización. Le añades el parámetro --service-endpoints Microsoft.Storage, que convierte a esa subred en un puerto de entrada autorizado para cuentas de almacenamiento [4:00].

La subred queda lista para hablar con storage, aunque todavía no sepa con cuál cuenta concreta. Es como tener la puerta instalada antes de entregar la llave.

¿Cómo aplicar reglas de red a una storage account en Azure?

El puente se construye con storage account network-rule add. Este comando agrega una política dentro de la cuenta de almacenamiento que permite el paso solo a esa subred específica [5:00].

Fíjate en el detalle: ni siquiera todos los recursos de la vnet tienen acceso. Solo los que se desplieguen dentro de la subred autorizada. Granularidad pura.

Luego despliegas una máquina virtual con Ubuntu 24.04 dentro de esa misma subred, usando llaves SSH en lugar de escritorio remoto [6:00]. Ubuntu en la nube se administra por terminal, sin interfaz gráfica.

¿Cómo guardar la IP pública de una VM en una variable?

Aquí viene una técnica muy útil. En vez de copiar IPs a mano, usas una consulta JMESPath:

bash VM_PUBLIC_IP=$(az vm list-ip-addresses -g <grupo> --query "[].virtualMachine.network.publicIpAddresses[0].ipAddress" -o tsv)

Navegas dentro del JSON de respuesta hasta la propiedad publicIpAddresses y extraes el valor exacto que necesitas [7:30]. Luego confirmas con echo $VM_PUBLIC_IP y listo, esa IP queda disponible para el siguiente comando.

Con esa IP en la mano agregas otra network-rule, esta vez para que la cuenta de almacenamiento acepte conexiones desde esa dirección específica. Ahora tu storage queda restringido por vnet, subred e IP al mismo tiempo.

¿Cómo verificar el acceso privado desde una máquina virtual?

La prueba real se hace comparando dos terminales en paralelo. Una en tu equipo local (aminspinoza@compuamin) y otra dentro de la VM remota (azureuser@vm-platzi-endpoint) [10:00].

Dentro de la VM instalas Azure CLI y guardas la storage key en una variable usando otra consulta tipo query. Luego intentas crear un contenedor en la cuenta privada desde ambos lados:

Desde tu máquina local: el comando falla. Aparece un error indicando que una regla de red impide la operación.
Desde la VM remota: el contenedor se crea sin problema y devuelve created: true.

Esa es la confirmación visual de que el aislamiento funciona. La VM, al estar dentro de la subred autorizada, atraviesa el firewall lógico. Tu equipo personal no.

¿Por qué veo el contenedor en el portal si la cuenta es privada? Verlo listado no significa poder acceder a su contenido. El portal muestra el recurso, pero la regla de red sigue bloqueando la lectura y escritura desde orígenes no autorizados.

En el portal de Azure puedes confirmar la configuración entrando a Platzi privado, sección Seguridad y redes. Verás que el acceso ya no está habilitado desde todas las redes, sino desde redes virtuales y direcciones IP seleccionadas [12:00].

Variantes para experimentar con tu cuenta de almacenamiento

Este mismo patrón te permite combinar niveles de acceso y reglas de red según el caso de uso. Algunas pruebas valiosas:

Cambia el nivel entre hot, cool y cold según la frecuencia de acceso a los datos.
Elimina la regla de IP y observa si la VM sigue conectándose por la subred.
Quita el service endpoint de la subred y revisa qué error aparece.
Crea otra VM fuera de la subred autorizada y comprueba que el acceso falla.

Cada escenario te enseña algo distinto sobre cómo Azure interpreta las capas de seguridad. ¿Qué combinación probarías primero en tu propio entorno? Cuéntalo en los comentarios.

# Crear un grupo de recursos
az group create --name grupoAlmacenamientoPrivado --location "eastus2"

# Crea una cuenta de almacenamiento con acceso denegado publico
az storage account create --name platziprivado --resource-group grupoAlmacenamientoPrivado --location eastus2 --sku Standard_LRS --kind StorageV2 --access-tier Hot --default-action Deny

# Crear una red virtual y subred
az network vnet create --name platzi-vnet --resource-group grupoAlmacenamientoPrivado --location eastus2 --address-prefix 10.0.0.0/16 --subnet-name platzi-subred --subnet-prefix 10.0.0.0/24

# Actualiza el tipo de endpoint de la subred para Azure Storage (disponibiliza)
az network vnet subnet update --name platzi-subred --vnet-name platzi-vnet --resource-group grupoAlmacenamientoPrivado --service-endpoints Microsoft.Storage

# Agregar una regla de acceso para que solo la subred pueda acceder a la cuenta de almacenamiento
az storage account network-rule add --resource-group grupoAlmacenamientoPrivado --account-name platziprivado --vnet-name platzi-vnet --subnet platzi-subred

# Comando para crear una máquina virtual en la misma Vnet
az vm create --resource-group grupoAlmacenamientoPrivado --name vm-platzi-endpoint --vnet-name platzi-vnet --subnet platzi-subred --image Ubuntu2404 --admin-username azureuser --generate-ssh-keys --output none

# Muestra la IP de la maquina virtual
VM_PUBLIC_IP=$(az vm list-ip-addresses --resource-group grupoAlmacenamientoPrivado --name vm-platzi-endpoint --query "[].virtualMachine.network.publicIpAddresses[*].ipAddress" --output tsv)

# Permite el acceso a la cuenta de almacenamiento desde la Ip publica de la VM
az storage account network-rule add --resource-group grupoAlmacenamientoPrivado --account-name platziprivado --ip-address $VM_PUBLIC_IP

# obtener el key de acceso de la cuenta de almacenamiento
STORAGE_KEY=$(az storage account keys list --account-name platziprivado --resource-group grupoAlmacenamientoPrivado --query "[0].value" -o tsv)

# mostrar la credenciales de la VM de ubunto
echo "ssh azureuser@VM_PUBLIC_IP"

#en la maquina virtual instalar lo siguiente:
curl -sL https://aka.ms/InstallAzureCLIDeb | sudo bash

#Prueba de integridad
# Crear un contenedor en la cuenta de almacenamiento desde mi local (nose va poder porque la vnet solo le da permiso a la VM)
az storage container create --name prueba-conectividad --account-name platziprivado --account-key $STORAGE-KEY

Resumen

La idea es simple: niegas todo el tráfico por defecto y luego abres puertas muy específicas. Vamos paso a paso.

¿Cómo se crea una cuenta de almacenamiento privada con Azure CLI?

Todo arranca en la terminal con el archivo comandos.sh del repositorio del curso. La secuencia parte del grupo de recursos y avanza hacia la cuenta restringida.

Al crear la cuenta de almacenamiento aparecen tres parámetros clave que cambian el juego [2:00]:

Tipo premium: una categoría más evolucionada que el estándar.
Nivel de acceso hot: pensado para datos de uso frecuente.
Default action en deny: bloquea el acceso directo y obliga a definir reglas explícitas para entrar.

Con default-action deny la cuenta deja de aceptar el típico acceso público. Nadie entra hasta que tú lo autorices, ni siquiera tú desde tu equipo local.

¿Qué hace el parámetro default action deny en una storage account? Bloquea por defecto cualquier conexión a la cuenta de almacenamiento. Solo entran los recursos o IPs que agregues como excepción mediante reglas de red.

¿Cómo configurar una subred con service endpoint para Storage?

Después de la cuenta viene la red. Creas una vnet con network vnet create y dentro defines una subred llamada Platzi subred con su prefijo de IPs [3:30].

La subred queda lista para hablar con storage, aunque todavía no sepa con cuál cuenta concreta. Es como tener la puerta instalada antes de entregar la llave.

¿Cómo aplicar reglas de red a una storage account en Azure?

El puente se construye con storage account network-rule add. Este comando agrega una política dentro de la cuenta de almacenamiento que permite el paso solo a esa subred específica [5:00].

Fíjate en el detalle: ni siquiera todos los recursos de la vnet tienen acceso. Solo los que se desplieguen dentro de la subred autorizada. Granularidad pura.

¿Cómo guardar la IP pública de una VM en una variable?

Aquí viene una técnica muy útil. En vez de copiar IPs a mano, usas una consulta JMESPath:

bash VM_PUBLIC_IP=$(az vm list-ip-addresses -g <grupo> --query "[].virtualMachine.network.publicIpAddresses[0].ipAddress" -o tsv)

¿Cómo verificar el acceso privado desde una máquina virtual?

La prueba real se hace comparando dos terminales en paralelo. Una en tu equipo local (aminspinoza@compuamin) y otra dentro de la VM remota (azureuser@vm-platzi-endpoint) [10:00].

Dentro de la VM instalas Azure CLI y guardas la storage key en una variable usando otra consulta tipo query. Luego intentas crear un contenedor en la cuenta privada desde ambos lados:

Desde tu máquina local: el comando falla. Aparece un error indicando que una regla de red impide la operación.
Desde la VM remota: el contenedor se crea sin problema y devuelve created: true.

Esa es la confirmación visual de que el aislamiento funciona. La VM, al estar dentro de la subred autorizada, atraviesa el firewall lógico. Tu equipo personal no.

¿Por qué veo el contenedor en el portal si la cuenta es privada? Verlo listado no significa poder acceder a su contenido. El portal muestra el recurso, pero la regla de red sigue bloqueando la lectura y escritura desde orígenes no autorizados.

Variantes para experimentar con tu cuenta de almacenamiento

Este mismo patrón te permite combinar niveles de acceso y reglas de red según el caso de uso. Algunas pruebas valiosas:

Cambia el nivel entre hot, cool y cold según la frecuencia de acceso a los datos.
Elimina la regla de IP y observa si la VM sigue conectándose por la subred.
Quita el service endpoint de la subred y revisa qué error aparece.
Crea otra VM fuera de la subred autorizada y comprueba que el acceso falla.

Cada escenario te enseña algo distinto sobre cómo Azure interpreta las capas de seguridad. ¿Qué combinación probarías primero en tu propio entorno? Cuéntalo en los comentarios.

Fundamentos de la nube y Azure

Despliegue de Soluciones en la Nube con Azure

Nube privada, pública e híbrida en Azure

Costos y Beneficios de Soluciones en la Nube con Azure

Microsoft Azure Fundamentos

Cómo crear tu cuenta gratuita en Azure

Instala y configura Azure CLI desde cero

Gestión de Costos en Azure: Uso de Suscripciones y Presupuestos

Cómo navegar el catálogo de servicios Azure

Exploración de Productos y Documentación en Azure para Contenedores

Etiquetas en Azure para organizar recursos

Crea y automatiza Storage Accounts con ARM

Automatización de Despliegue en Azure con Línea de Comandos

Modelos de servicio

Máquinas virtuales en Azure con CLI

Despliega apps en Azure sin máquinas virtuales

Despliegue de WordPress usando SaaS en Azure

Selección de Regiones de Centros de Datos en la Nube

Alta disponibilidad y organización de recursos

Escalabilidad y Alta Disponibilidad en la Nube con Azure

Administración de Acceso en Azure: Control de Roles y Permisos

Gestión de Accesos y Roles en Azure: Control de Privilegios

Seguridad y gobernanza en Azure

Seguridad en Aplicaciones Nativas en la Nube: Principio de Cero Confianza

Evaluación de Costos en la Nube: Uso de Calculadora TCO

Gestión de Seguridad y Usuarios en Microsoft Entra ID para Azure

Autenticación sin contraseña en Microsoft Entra ID

Creación de Roles de Acceso en Azure con Service Principal

Soluciones de cómputo y redes

Máquinas virtuales, containers y functions en Azure

Despliega múltiples VMs con Scale Sets

Zonas DNS internas en Azure con CLI

Acceso público a una VM en Azure con RDP

Almacenamiento y acceso seguro

Llaves de acceso en Azure Storage

Níveis de acesso no Azure Storage e custos

Cuenta de almacenamiento privada en Azure VNet

Acceso a VMs privadas con Azure Bastion

Herramientas avanzadas de seguridad

Seguridad en la Nube con Microsoft Defender y Azure

Cómo crear políticas de seguridad con Azure Policy

Automatización y despliegue de recursos

Azure Cloud Shell desde el portal sin instalar nada

Desplegando recursos en Azure con Bicep

Automatización de Despliegue en Azure con Bicep y Terraform

Monitoreo de Azure Service Health para Administradores de Nube

Portales satélite de Azure por especialidad

Arquitectura sin servidor

Qué es serverless y cómo funciona en Azure

Cuenta de almacenamiento privada en Azure VNet