随着企业对数据安全和合规性的要求不断提升，越来越多的组织选择在云服务中禁用公共网络访问，转而通过私有端点（Private Endpoints）实现内网隔离。Microsoft Purview作为微软统一数据治理平台，其门户访问方式在此类场景下成为IT管理员关注的焦点。近日，微软官方详细阐述了在“公共网络访问已禁用、私有端点已启用”的配置下，用户如何正常访问Purview门户，以及背后的网络解析与安全机制。
私有端点部署：隔离与访问的双重需求
Microsoft Purview支持两种类型的私有端点：门户私有端点（Portal Private Endpoint） 和 摄取私有端点（Ingestion Private Endpoint）。前者用于用户通过浏览器访问Purview治理门户（如https://web.purview.azure.com），后者负责数据源扫描、元数据同步等后端流量。当公共网络访问被关闭后，所有与Purview的交互必须经私有网络完成，这意味着传统的公网DNS解析和直接浏览器访问将失效。
但在实际部署中，部分用户发现：即便已配置私有端点，浏览器仍可能返回“拒绝连接”或“无法解析主机”的错误。这一问题的根源在于DNS解析策略与浏览器流量路径的错位。
核心机制：私有DNS解析与条件转发
微软指出，启用私有端点后，Azure会自动创建私有DNS区域（privatelink.purview.azure.com），并将Purview门户的域名解析到内部私有IP地址。然而，用户终端（如公司内网电脑）的DNS服务器若不识别该私有区域，仍会将请求发送至公共DNS，导致无法访问。
解决方案在于配置混合网络环境下的条件转发：将purview.azure.com域名的DNS查询转发至Azure私有DNS解析器，或直接修改客户端的hosts文件指向私有IP。对于使用Azure VPN或ExpressRoute连接的企业，可借助Azure DNS Private Resolver实现无缝解析。微软官方建议优先采用Azure私有DNS区域与本地DNS服务器集成的方式，避免手动维护hosts文件。
浏览器访问：代理与证书的关键细节
即便DNS解析正确，浏览器访问Purview门户时仍可能面临两项挑战：
- HTTP代理干扰：若企业内网强制使用代理服务器，且代理未配置对私有端点流量的绕过规则，浏览器可能将私有IP请求误发至公共代理，导致连接失败。管理员需在代理设置中添加“*.purview.azure.com”的直连例外。
- TLS证书验证：私有端点绑定的Azure负载均衡器使用标准Azure证书，但在某些严格的企业环境中，若客户端不信任Azure根证书颁发机构，浏览器会显示证书警告。微软强调，只要私有端点关联的虚拟网络未对出站流量进行SSL拦截，该问题通常不会出现；若存在SSL解密设备，需将Azure TLS证书加入信任列表。
多网络架构下的可行方案
对于跨区域或多虚拟网络的企业，微软推荐两种访问模式：
- Azure Bastion + 私有端点：用户通过Bastion跳板机接入Azure虚拟网络，再从虚拟网络内的虚拟机访问Purview门户。此方式无需修改客户端DNS，但需要额外部署Bastion。
- 全局对等网络 + 私有DNS集成：将所有需要访问Purview的虚拟网络与承载私有端点的中心虚拟网络对等，并统一通过Azure DNS Private Resolver解析域名。
值得注意的是，Purview门户私有端点不支持从公网直接访问，也不支持从与私有端点非同虚拟网络的本地设备访问（除非通过VPN/ExpressRoute打通路由）。微软在最新文档中强调，门户私有端点的IP地址是Azure内部网络IP，无法通过互联网直接路由。
场景案例：金融企业实现零信任访问
以某大型银行为例，该行要求所有云服务仅允许内网访问，并已部署Azure ExpressRoute连接本地数据中心与Azure虚拟网络。运维团队为Purview启用了门户私有端点，并配置了本地DNS条件转发至Azure私有解析器。同时，工程师通过Azure Bastion从内部跳板机登录Azure VM，再在VM内使用浏览器访问Purview门户，成功规避了代理和证书问题。目前该方案已运行半年，支持超过50名数据治理人员的内网访问。
未来展望：简化体验与安全边界拓展
随着企业对“零信任网络访问”（ZTNA）的采纳加深，微软正在优化Purview私有端点的配置体验。例如，Azure Portal内已支持一键检查DNS解析状态，并提供诊断工具。此外，Purview计划引入基于身份的条件访问策略，允许管理员进一步限定哪些用户、哪些IP段可通过私有端点访问门户。
对于正在规划或已经部署Purview私有端点的组织，微软建议：先确保网络基础（DNS解析与路由正确），再关注客户端配置（代理与证书），最后通过Azure Monitor跟踪访问日志以排查异常。 合理利用Azure Private Link与混合网络能力，才能在保障数据安全的同时，不牺牲治理效率。
（全文约980字）