Überblick über den Support für Virtual Network

Mit Azure Virtual Network Support für Power Platform können Sie Power Platform in Ressourcen in Ihrem virtuellen Netzwerk integrieren, wobei diese nicht über das öffentliche Internet verfügbar gemacht werden müssen. Virtual Network-Support nutzt Azure-Subnetzdelegierung, um den ausgehenden Datenverkehr zur Runtime von Power Platform zu verwalten. Durch die Verwendung der Azure-Subnetzdelegierung wird vermieden, dass geschützte Ressourcen über das Internet für die Integration mit Power Platform verfügbar sein müssen. Dank der Virtual-Network-Unterstützung können Power Platform-Komponenten Ressourcen Ihres Unternehmens innerhalb Ihres Netzwerks aufrufen, unabhängig davon, ob sie in Azure oder lokal gehostet werden, und Plug-Ins und Connectors für ausgehende Anrufe verwenden.

Über öffentliche Netzwerke lässt sich für gewöhnlich eine Integration von Power Platform mit Unternehmensressourcen herstellen. Bei öffentlichen Netzwerken muss über eine Liste von Azure-IP-Bereichen oder Diensttags, die öffentliche IP-Adressen beschreiben, auf Unternehmensressourcen zugegriffen werden können. Der Azure Virtual Network-Support für Power Platform ermöglicht Ihnen jedoch die Verwendung eines privaten Netzwerks und weiterhin die Integration mit Cloud-Diensten oder Diensten, die in Ihrem Unternehmensnetzwerk gehostet werden.

Azure-Dienste werden innerhalb eines virtuellen Netzwerks durch private Endpunkte geschützt. Sie können Express Route verwenden, um Ihre lokalen Ressourcen in das virtuelle Netzwerk zu bringen.

Power Platform verwendet das virtuelle Netzwerk und Subnetze, die Sie delegieren, um ausgehende Aufrufe an Unternehmensressourcen über das private Unternehmensnetzwerk zu tätigen. Durch die Verwendung eines privaten Netzwerks muss der ausgehende Datenverkehr nicht über das öffentliche Internet erfolgen, was die Ressourcen des Unternehmens gefährden könnte.

In einem virtuellen Netzwerk haben Sie die volle Kontrolle über den ausgehenden Datenverkehr von Power Platform. Für den Datenverkehr gelten die Netzwerkrichtlinien Ihrer Netzwerksadministrierenden. Das folgende Diagramm zeigt, wie Ressourcen in Ihrem Netzwerk mit einem virtuellen Netzwerk interagieren.

Vorteile der Unterstützung für Virtual Network

Mit der Unterstützung von Virtual Network profitieren Ihre Power Platform- und Dataverse-Komponenten von allen Vorteilen, die die Azure-Subnetzdelegierung bietet, wie z. B.:

• Datenschutz: Virtual Network erlaubt den Power Platform-Diensten, eine Verbindung zu Ihren privaten und geschützten Ressourcen herzustellen, ohne dass diese dem Internet ausgesetzt werden müssen.

• Kein unbefugter Zugriff: Virtual Network stellt eine Verbindung zu Ihren Ressourcen her und benötigt dafür keine Power Platform-IP-Bereiche oder Diensttags in der Verbindung.

Schätzen der Subnetzgröße für Power Platform-Umgebungen

Im vergangenen Jahr zeigten Telemetriedaten und Beobachtungen, dass Produktionsumgebungen in der Regel 25 bis 30 IP-Adressen benötigen, wobei die meisten Anwendungsfälle in diesen Bereich fallen. Basierend auf diesen Informationen empfehlen wir, 25 bis 30 IPs für Produktionsumgebungen und 6 bis 10 IPs für Nichtproduktionsumgebungen wie Sandkasten- oder Entwicklerumgebungen zu zuordnen. IP-Adressen innerhalb des Subnetzes werden hauptsächlich von Containern verwendet, die mit dem virtuellen Netzwerk verbunden sind. Sobald die Umgebung genutzt wird, werden mindestens vier Container erstellt, die dynamisch basierend auf dem Anrufvolumen skaliert werden, obwohl sie in der Regel im Bereich von 10 bis 30 Containern bleiben. Diese Container sind für die Ausführung aller Anforderungen für ihre jeweiligen Umgebungen und die effiziente Verarbeitung von Anfragen für parallele Verbindungen verantwortlich.

Für mehrere Umgebungen planen

Wenn Sie dasselbe delegierte Subnetz für mehrere Power Platform-Umgebungen verwenden, benötigen Sie möglicherweise einen größeren Block an klassenloses domänenübergreifenden Weiterleitung (CIDR)-IP-Adressen. Berücksichtigen Sie die empfohlene Anzahl von IP-Adressen für Produktions- und Nichtproduktionsumgebungen beim Verknüpfen von Umgebungen mit einer einzelnen Richtlinie. Beachten Sie, dass jedes Subnetz fünf IP-Adressen reserviert, die in Ihre Schätzung einbezogen werden müssen.

Beispiel IP-Zuteilung

Stellen Sie sich einen Mandanten mit zwei Unternehmensrichtlinien vor. Die erste Richtlinie richtet sich an Produktionsumgebungen, während die zweite Richtlinie für Nichtproduktionsumgebungen gilt.

Unternehmensrichtlinie für die Produktion

Wenn Ihrer Unternehmensrichtlinie vier Produktionsumgebungen zugeordnet sind, die jeweils 30 IPs erfordern. Die gesamte IP-Zuweisung würde wie folgt aussehen:

(Vier Umgebungen x 30 IPs) + 5 reservierte IPs = 125 IPs

Für dieses Szenario ist ein CIDR-Block von /25 erforderlich, der eine Kapazität von 128 IPs hat.

Unternehmensrichtlinie für nicht-produktive Tätigkeiten

Für eine Nichtproduktion-Unternehmensrichtlinie mit 20 Entwickler- und Sandkastenumgebungen – die jeweils 10 IPs erfordern – lautet die gesamte IP-Zuweisung wie folgt:

(Zwanzig Umgebungen x 10 IPs) + 5 reservierte IPs = 205 IPs

Dieses Szenario würde einen CIDR-Block von /24 erfordern, der eine Kapazität von 256 IPs bietet und über ausreichend Platz verfügt, um der Unternehmensrichtlinie weitere Umgebungen hinzuzufügen.

Unterstützte Szenarien

Power Platform unterstützt Dataverse-Plug-Ins und Konnektoren mit einem virtuellen Netzwerk, Mit diesem Support können Sie eine sichere, private, ausgehende Verbindung von Power Platform zu Ressourcen innerhalb Ihres virtuellen Netzwerks herstellen. Dataverse-Plug-Ins und Konnektoren verbessern die Sicherheit der Datenintegration durch Verbindung mit externen Datenquellen aus Power Apps, Power Automate und Dynamics 365-Apps. So können Sie beispielsweise Folgendes ausführen:

• Verwenden Sie Dataverse-Plug-Ins, um eine Verbindung zu Ihren Cloud-Datenquellen wie Azure SQL, Azure Storage, Blob Storage oder Azure Key Vault herzustellen. Sie können Ihre Daten vor Datenexfiltration und anderen Vorfällen schützen.
• Verwenden Sie Dataverse-Plug-Ins, um eine sichere Verbindung zu privaten, endpunktgeschützten Ressourcen in Azure herzustellen, etwa zur Web-API oder zu anderen Ressourcen innerhalb Ihres privaten Netzwerks wie SQL und Web-API. Sie können Ihre Daten vor Datenschutzverletzungen und anderen externen Bedrohungen schützen.
• Verwenden Sie von Virtual Network unterstützte Connectors wie SQL Server, um eine sichere Verbindung zu Ihren in der Cloud gehosteten Datenquellen wie Azure SQL oder SQL Server herzustellen, ohne sie dem Internet auszusetzen. Ebenso können Sie den Azure Queue-Konnektor verwenden, um sichere Verbindungen zu privaten, endpunktfähigen Azure Queues herzustellen.
• Verwenden Sie den Azure Key Vault-Konnektor, um eine sichere Verbindung zu einem privaten, endpunktgeschützten Azure Key Vault herzustellen.
• Verwenden Sie benutzerdefinierte Connectors, um eine sichere Verbindung zu Ihren Diensten, die durch private Endpunkte in Azure geschützt sind, oder zu in Ihrem privaten Netzwerk gehosteten Diensten herzustellen.
• Verwenden Sie Azure File Storage, um eine sichere Verbindung mit dem privaten, endpunktfähigen Azure Dateispeicher herzustellen.
• Verwenden Sie HTTP mit Microsoft Entra ID (vorautorisiert), um Ressourcen über virtuelle Netzwerke sicher aus verschiedenen Webdiensten, die von Microsoft Entra ID oder von einem lokalen Webdienst authentifiziert wurden, abzurufen.

Einschränkungen

• Dataverse-Low-Code-Plug-Ins, die Konnektoren verwenden, werden erst unterstützt, wenn diese Konnektortypen für die Verwendung der Subnetzdelegierung aktualisiert werden.
• Sie verwenden Kopier-, Sicherungs- und Wiederherstellungsvorgänge im Lebenszyklus der Umgebung in Umgebungen, die durch virtuelle Netzwerke in Power Platform unterstützt werden. Der Wiederherstellungsvorgang kann innerhalb desselben virtuellen Netzwerks und über verschiedene Umgebungen hinweg ausgeführt werden, vorausgesetzt, sie sind mit demselben virtuellen Netzwerk verbunden. Darüber hinaus ist der Wiederherstellungsvorgang aus Umgebungen, die virtuelle Netzwerke nicht unterstützen, in Umgebungen mit solcher Unterstützung zulässig.

Unterstützte Regionen

Stellen Sie sicher, dass sich Ihre Power Platform-Umgebung und Ihre Unternehmensrichtlinie in unterstützten Power Platform- und Azure-Regionen befinden. Wenn sich Ihre Power Platform-Umgebung beispielsweise im Vereinigten Königreich befindet, müssen sich Ihr virtuelles Netzwerk und Ihre Subnetze in den Regionen uksouth und ukwest Azure befinden. Wenn eine Power Platform-Region mehr als zwei Regionen aufweist, müssen Sie sicherstellen, dass Sie eines der verfügbaren Regionspaare auswählen. Wenn sich Ihre Umgebung beispielsweise in den VEREINIGTEN Staaten befindet, müssen sich Ihr virtuelles Netzwerk und Ihre Subnetze in Ost- und Westus oder in Centralus und Eastus2 befinden.

Unterstützte Dienste

In der folgenden Tabelle sind die Dienste aufgeführt, die die Azure-Subnetzdelegierung für die Unterstützung von Virtual Network für Power Platform unterstützen.

Unterstützte Umgebungen

Die Unterstützung für virtuelle Netzwerke für Power Platform ist für alle Power Platform-Umgebungen nicht verfügbar. In der folgenden Tabelle sind die Umgebungstypen aufgeführt, die virtuelles Netzwerk unterstützen.

Überlegungen zur Aktivierung der Unterstützung virtueller Netzwerke für die Power Platform-Umgebung

Wenn Sie die Unterstützung virtueller Netzwerke in einer Power Platform-Umgebung aktivieren, führen alle unterstützten Dienste, wie z. B. Dataverse Plug-Ins und Konnektoren, Anforderungen zur Laufzeit in Ihrem delegierten Subnetz aus und unterliegen Ihren Netzwerkrichtlinien. Die Aufrufe zu öffentlich zugänglichen Ressourcen würden anfangen zu scheitern.

Beispielsweise könnte ein Plug-In versuchen, eine Verbindung zu einem öffentlich verfügbaren Dienst herzustellen, Ihre Netzwerkrichtlinie aber keinen öffentlichen Internetzugang innerhalb Ihres virtuellen Netzwerks erlauben. Der Aufruf vom Plug-In wird gemäß Ihrer Netzwerkrichtlinie blockiert. Um den blockierten Anruf zu vermeiden, können Sie den öffentlich verfügbaren Dienst in Ihrem virtuellen Netzwerk hosten. Alternativ können Sie, wenn Ihr Dienst in Azure gehostet wird, einen privaten Endpunkt für den Dienst aktivieren, bevor Sie die Unterstützung Ihres virtuellen Netzwerks in der Power Platform-Umgebung aktivieren.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Virtual Network-Datengateway und Azure Virtual Network-Unterstützung für die Power Platform?

Ein Datengateway für virtuelle Netzwerke ist ein verwaltetes Gateway, mit dem Sie über Ihr virtuelles Netzwerk auf Azure- und Power Platform-Dienste zugreifen können, ohne ein lokales Datengateway einrichten zu müssen. Beispielsweise ist das Gateway für ETL-Workloads (Extrahieren, Transformieren, Laden) in Power BI- und Power Platform-Dataflows optimiert.

Die Unterstützung für Azure Virtual Network für Power Platform verwendet eine Azure-Subnetzdelegierung für Ihre Power Platform-Umgebung. Subnetze werden von Workloads innerhalb der Power Platform-Umgebung verwendet. Power Platform-API-Workloads nutzen die Unterstützung virtueller Netzwerke, da die Anforderungen nur von kurzer Dauer sind und für eine große Anzahl von Anforderungen optimiert sind.

In welchen Szenarien sollte ich die virtuelle Netzwerkunterstützung für Power Platform und das virtuelle Netzwerk-Datengateway verwenden?

Die Unterstützung virtueller Netzwerke für Power Platform ist die einzige unterstützte Option für alle Szenarien für ausgehende Konnektivität von Power Platform, mit Ausnahme von Power BI und Power Platform-Dataflows.

Power BI und Power Platform-Dataflows verwenden weiterhin das virtuelle Netzwerk-(vNet-)Datengateway.

Wie können Sie sicherstellen, dass ein virtuelles Netzwerksubnetz oder -datengateway einer bestimmten Kundschaft nicht von einer anderen in Power Platform verwendet wird?

• Die Unterstützung für virtuelle Netzwerke für Power Platform verwendet die Azure-Subnetzdelegierung.

• Jede Power Platform-Umgebung ist mit einem virtuellen Netzwerksubnetz verknüpft. Nur Aufrufe aus dieser Umgebung dürfen auf dieses virtuelle Netzwerk zugreifen.

• Mit der Delegierung können Sie ein bestimmtes Subnetz für einen Azure-Platform as a Service(PaaS)-Dienst festlegen, der in Ihr virtuelles Netzwerk eingefügt werden muss.

Unterstützt der virtuelle Netzwerk-Support Power Platform Failover?

Ja, Sie müssen die virtuellen Netzwerke für beide Azure-Regionen delegieren, die Ihrer Power Platform Region zugeordnet sind. Wenn sich Ihre Power Platform Umgebung beispielsweise in Kanada befindet, müssen Sie virtuelle Netzwerke in CanadaCentral und CanadaEast erstellen, delegieren und konfigurieren.

Wie kann eine Power Platform-Umgebung in einer Region eine Verbindung zu Ressourcen herstellen, die in einer anderen Region gehostet werden?

Ein mit einer Power Platform-Umgebung verknüpftes virtuelles Netzwerk muss sich in der Region der Power Platform-Umgebung befinden. Wenn sich das virtuelle Netzwerk in einer anderen Region befindet, erstellen Sie ein virtuelles Netzwerk in der Region der Power Platform Umgebung, und verwenden Sie Peering virtueller Netzwerke auf beiden delegierten virtuellen Netzwerken des Subnetzes in den Azure-Regionen, um die Lücke mit dem virtuellen Netzwerk in der separaten Region zu schließen.

Kann ich den ausgehenden Datenverkehr von delegierten Subnetzen überwachen?

Ja Sie können Netzwerksicherheitsgruppen und Firewalls verwenden, um den ausgehenden Datenverkehr von delegierten Subnetzen zu überwachen. Erfahren Sie mehr über Azure Virtual Network.

Kann ich internetgebundene Anrufe von Plug-Ins oder Konnektoren aus tätigen, nachdem meine Umgebung an das Subnetz delegiert wurde?

Ja Sie können internetgebundene Aufrufe über Plug-Ins oder Konnektoren tätigen, aber das delegierte Subnetz muss mit einem Azure NAT-Gateway konfiguriert werden.

Kann ich den Subnetz-IP-Adressbereich aktualisieren, nachdem er an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde?

Nein, nicht, solange die Funktion in Ihrer Umgebung verwendet wird. Sie können den IP-Adressbereich des Subnetzes nicht mehr ändern, nachdem es an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde. In diesem Fall wird die Delegierungskonfiguration unterbrochen und die Umgebung funktioniert nicht mehr. Um den IP-Adressbereich zu ändern, müssen Sie die Delegierungsfunktion aus Ihrer Umgebung entfernen, die erforderlichen Änderungen vornehmen und dann die Funktion für Ihre Umgebung aktivieren.

Kann ich die DNS-Adresse meines virtuellen Netzwerks aktualisieren, nachdem es an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde?

Nein, nicht, solange die Funktion in Ihrer Umgebung verwendet wird. Sie können die DNS-Adresse des virtuellen Netzwerks nicht mehr ändern, nachdem es an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde. Wenn Sie dies tun, wird die Änderung nicht in unserer Konfiguration übernommen, und Ihre Umgebung funktioniert möglicherweise nicht mehr. Um die DNS-Adresse zu ändern, müssen Sie die Delegierungsfunktion aus Ihrer Umgebung entfernen, die erforderlichen Änderungen vornehmen und dann die Funktion für Ihre Umgebung aktivieren.

Kann ich dieselbe Unternehmensrichtlinie für mehrere Power Platform-Umgebungen verwenden?

Ja Sie können dieselbe Unternehmensrichtlinie für mehrere Power Platform-Umgebungen verwenden. Es gilt jedoch die Einschränkung, dass Umgebungen für den Vorabveröffentlichungszyklus nicht mit derselben Unternehmensrichtlinie wie andere Umgebungen verwendet werden können.

In meinem virtuellen Netzwerk ist ein benutzerdefiniertes DNS konfiguriert. Verwendet Power Platform mein benutzerdefiniertes DNS?

Ja Power Platform verwendet das benutzerdefinierte DNS, das im virtuellen Netzwerk konfiguriert ist, welches das delegierte Subnetz enthält, um alle Endpunkte aufzulösen. Nachdem die Umgebung delegiert ist, können Sie die Plug-Ins aktualisieren, um den richtigen Endpunkt zu verwenden, damit Ihr benutzerdefiniertes DNS ihn auflösen kann.

Meine Umgebung verfügt über vom ISV bereitgestellte Plug-Ins. Würden diese Plug-Ins im delegierten Subnetz ausgeführt werden?

Ja Alle Kunden-Plug-Ins und ISV-Plug-Ins können über Ihr Subnetz ausgeführt werden. Wenn die ISV-Plug-Ins über eine Ausgangskonnektivität verfügen, müssen diese URLs möglicherweise in Ihrer Firewall aufgeführt sein.

Meine lokalen Endpunkt-TLS-Zertifikate sind nicht von bekannten Stammzertifizierungsstellen (ZS) signiert. Unterstützen Sie unbekannte Zertifikate?

Nein. Wir müssen sicherstellen, dass der Endpunkt ein TLS-Zertifikat mit der vollständigen Kette vorlegt. Ihre benutzerdefinierte Stammzertifizierungsstelle kann nicht zu unserer Liste bekannter Zertifizierungsstellen hinzugefügt werden.

Welche Einrichtung wird für ein virtuelles Netzwerks innerhalb eines Kundenmandanten empfohlen?

Wir empfehlen keine bestimmte Topologie. Unsere Kunden verwenden jedoch häufig die Hub-Spoke-Netzwerktopologie in Azure.

Ist die Verknüpfung eines Azure-Abonnements mit meinem Power Platform-Mandant erforderlich, um virtuelle Netzwerke Network zu aktivieren?

Ja, um den Support für virtuelle Netzwerke für Power Platform-Umgebungen zu aktivieren, muss dem Power Platform-Mandant ein Azure-Abonnement zugeordnet sein.

Wie nutzt Power Platform die Azure-Subnetzdelegierung?

Wenn einer Power Platform-Umgebung ein delegiertes Azure-Subnetz zugewiesen ist, wird die Azure virtuelle Netzwerk-Injektion verwendet, um den Container zur Laufzeit in ein delegiertes Subnetz zu injizieren. Während dieses Vorgangs wird einer Netzwerkschnittstellenkarte (NIC) des Containers eine IP-Adresse aus dem delegierten Subnetz zugewiesen. Die Kommunikation zwischen dem Host (Power Platform) und dem Container erfolgt über einen lokalen Port auf dem Container, und der Datenverkehr fließt über Azure Fabric.

Kann ich ein vorhandenes virtuelles Netzwerk für Power Platform verwenden?

Ja, Sie können ein vorhandenes virtuelles Netzwerk für Power Platform verwenden, wenn ein einzelnes, neues Subnetz innerhalb des virtuellen Netzwerks speziell für Power Platform bereitgestellt wird. Das delegierte Subnetz muss für die Subnetzdelegierung reserviert sein und darf nicht für andere Zwecke verwendet werden.

Kann ich dasselbe delegierte Subnetz in mehreren Unternehmensrichtlinien wiederverwenden?

Nein. Die Wiederverwendung desselben Subnetzes in mehreren Unternehmensrichtlinien wird nicht unterstützt. Jede Power Platform Unternehmensrichtlinie muss über ein eigenes, eindeutiges Subnetz für die Delegierung verfügen.

Was ist ein Dataverse-Plug-In?

Ein Dataverse-Plug-In ist ein benutzerdefinierter Code, der in einer Power Platform-Umgebung bereitgestellt werden kann. Dieses Plug-In kann so konfiguriert werden, dass es bei Ereignissen (z. B. einer Datenänderung) ausgeführt oder als benutzerdefinierte API ausgelöst wird. Weitere Informationen: Dataverse-Plug-Ins

Wie wird ein Dataverse-Plug-In ausgeführt?

Ein Dataverse-Plug-In wird innerhalb eines Containers ausgeführt. Wenn einer Power Platform-Umgebung ein delegiertes Subnetz zugewiesen wird, wird der Netzwerkschnittstellenkarte (NIC) des Containers eine IP-Adresse aus dem Adressraum dieses Subnetzes zugewiesen. Kommunikation zwischen dem Host (Power Platform) und dem Container erfolgt über einen lokalen Port auf dem Container, und der Datenverkehr fließt über Azure Fabric.

Können mehrere Plug-Ins im selben Container ausgeführt werden?

Ja In einer bestimmten Power Platform- oder Dataverse-Umgebung können mehrere Plug-Ins im selben Container ausgeführt werden. Jeder Container benutzt eine IP-Adresse aus dem Subnetzadressraum. Jeder Container kann mehrere Anfragen ausführen.

Wie bewältigt die Infrastruktur eine Zunahme gleichzeitiger Plug-In-Ausführungen?

Wenn die Anzahl gleichzeitiger Plug-In-Ausführungen zunimmt, wird die Infrastruktur automatisch nach oben oder unten skaliert, um der Auslastung gerecht zu werden. Das an eine Power Platform-Umgebung delegierte Subnetz sollte über genügend Adressräume verfügen, um das Spitzenvolumen an Ausführungen für die Workloads in dieser Power Platform-Umgebung bewältigen zu können.

Wer kontrolliert das virtuelle Netzwerk und die damit verbundenen Netzwerkrichtlinien?

Als Kunde sind Sie der Besitzer des virtuellen Netzwerks und kontrollieren dieses und die dazugehörigen Netzwerkrichtlinien. Power Platform wiederum verwendet die zugewiesenen IP-Adressen aus dem delegierten Subnetz innerhalb dieses virtuellen Netzwerks.

Unterstützen Azure-fähige Plug-Ins virtuelle Netzwerke?

Nein, Azure-fähige Plug-Ins unterstützen kein virtuelles Netzwerk.

Nächste Schritte,

Unterstützung für virtuelles Netzwerk einrichten

Verwandte Inhalte

Behandeln von Problemen mit virtuellen Netzwerken