如何管控与其他租户共享的Azure应用网关专用链接的私用端点访问权限？

一、实现仅授权人员可审批的配置方案 #

1. 切换专用链接服务至手动审批模式 #

找到你的Azure应用网关，进入专用链接配置模块，定位对应的专用链接服务，将默认的自动批准模式改为手动批准。此后所有租户提交的连接请求都不会自动通过，必须由授权人员手动审核后才能建立连接。

2. 通过Azure RBAC管控审批权限 #

• 创建自定义RBAC角色，包含Microsoft.Network/privateLinkServices/approve/action、Microsoft.Network/privateLinkServices/reject/action、Microsoft.Network/privateLinkServices/read等核心权限，确保角色仅拥有审批相关操作权限，最小化权限范围。
• 将该自定义角色（或使用内置的「专用链接服务参与者」角色并限制权限范围）分配给指定的内部用户或安全组，确保只有授权人员能处理连接审批请求。

3. 跨租户身份校验机制 #

审批前要求合作租户提供其租户ID、订阅ID、业务场景说明等信息，核对这些信息是否属于预先授权的合作对象；同时通过Azure活动日志查看连接请求的发起者身份细节，进一步验证请求合法性。

二、全流程管理最佳实践 #

1. 标准化连接申请流程 #

• 要求合作租户提交正式的连接申请工单，包含业务需求、租户信息、联系人、预期连接时长等核心信息，避免无意义的请求。
• 内部建立审批流转机制，由授权人员按照预设标准审核，留存所有审批记录用于合规追溯。

2. 定期审计与权限清理 #

• 每月定期检查专用链接服务的已批准连接列表，移除不再有业务交互的租户连接，避免权限冗余。
• 配置Azure Policy规则，强制限制专用链接服务的审批模式为手动，防止被意外修改为自动审批模式。

3. 监控与告警配置 #

• 通过Azure Monitor设置告警规则，当有新的连接请求提交、审批操作执行时，实时通知授权管理员。
• 开启并留存专用链接服务的活动日志，日志需包含请求发起方、审批人、操作时间等关键信息，满足合规检查需求。

4. 跨租户协作安全规范 #

• 仅通过企业内部加密通讯渠道（如加密邮件、专属协作平台）共享应用网关专用链接资源ID，避免泄露给未授权方。
• 与合作租户约定连接有效期，到期后重新评估业务需求并重新审批，避免长期无效连接存在安全风险。

内容的提问来源于stack exchange，提问作者Suraj Solanki