Présentation de la prise en charge du réseau virtuel

Avec la prise en charge du réseau virtuel Azure pour Power Platform, vous pouvez intégrer Power Platform aux ressources au sein de votre réseau virtuel sans les exposer sur l’Internet public. La prise en charge du réseau virtuel utilise la délégation du sous-réseau Azure pour gérer le trafic sortant de Power Platform au moment de l’exécution. L’utilisation de la délégation de sous-réseau Azure évite la nécessité que les ressources protégées soient disponibles sur Internet pour les intégrer à Power Platform. Avec la prise en charge du réseau virtuel, les composants Power Platform peuvent appeler des ressources appartenant à votre entreprise au sein de votre réseau, qu’elles soient hébergées dans Azure ou localement, et utiliser des plug-ins et des connecteurs pour passer des appels sortants.

Power Platform s’intègre généralement aux ressources d’entreprise sur les réseaux publics. Avec les réseaux publics, les ressources d’entreprise doivent être accessibles à partir d’une liste de plages d’adresses IP ou d’étiquettes de service Azure, qui décrivent les adresses IP publiques. Cependant, la prise en charge du réseau virtuel Azure pour Power Platform vous permet d’utiliser un réseau privé et d'intégrer les services cloud ou les services hébergés au sein de votre réseau d’entreprise.

Les services Azure sont protégés au sein d’un réseau virtuel par les points de terminaison privés. Vous pouvez utiliser Express Route pour incorporer vos ressources locales au sein du réseau virtuel.

Power Platform utilise le réseau virtuel et les sous-réseaux que vous déléguez pour effectuer des appels sortants aux ressources d’entreprise via le réseau privé de l’entreprise. L’utilisation d’un réseau privé élimine la nécessité d’acheminer le trafic sur l’Internet public, ce qui pourrait exposer les ressources de l’entreprise.

Dans un réseau virtuel, vous avez un contrôle total sur le trafic sortant depuis Power Platform. Le trafic est soumis aux politiques réseau appliquées par votre administrateur réseau. Le diagramme suivant montre comment les ressources de votre réseau interagissent avec un réseau virtuel.

Avantages de la prise en charge du réseau virtuel

Avec la prise en charge du réseau virtuel, vos composants Power Platform et Dataverse obtiennent tous les avantages fournis par la délégation du sous-réseau Azure, notamment :

• Protection des données : le réseau virtuel permet aux services Power Platform de se connecter à vos ressources privées et protégées sans les exposer sur Internet.

• Aucun accès non autorisé : le réseau virtuel se connecte à vos ressources sans nécessiter de plage d’adresses IP ou d’étiquettes de service Power Platform dans la connexion.

Estimation de la taille du sous-réseau pour les environnements Power Platform

Au cours de l’année écoulée, les données de télémétrie et les observations indiquent que les environnements de production nécessitent généralement 25 à 30 adresses IP, la plupart des cas d’utilisation se situant dans cette plage. En fonction de ces informations, nous vous recommandons d’allouer 25 à 30 adresses IP pour les environnements de production et 6 à 10 adresses IP pour les environnements hors production, tels que les environnements bac à sable ou les environnements de développement. Les adresses IP au sein du sous-réseau sont principalement utilisées par les conteneurs connectés au réseau virtuel. Une fois que l’environnement commence à être utilisé, un minimum de quatre conteneurs est créé, qui sont mis à l’échelle dynamiquement en fonction du volume d’appels, bien qu’ils restent généralement dans la plage de 10 à 30 conteneurs. Ces conteneurs sont responsables de l’exécution de toutes les requêtes pour leurs environnements respectifs et du traitement efficace des demandes de connexion parallèle.

Planification de plusieurs environnements

Si vous utilisez le même sous-réseau délégué pour plusieurs environnements Power Platform, vous aurez peut-être besoin d’un bloc plus important d’adresses IP dans le routage CIDR (Classless Inter-Domain Routing). Tenez compte de la quantité recommandée d’adresses IP pour les environnements de production et de non-production lors de la liaison d’environnements à une stratégie unique. Gardez à l’esprit que chaque sous-réseau réserve cinq adresses IP, qui doivent être prises en compte dans votre estimation.

Exemple d’allocation IP

Prenons l’exemple d’un client avec deux stratégies d’entreprise. La première stratégie concerne les environnements de production, tandis que la deuxième stratégie concerne les environnements hors production.

Politique d’entreprise de production

Si vous avez quatre environnements de production associés à votre stratégie d’entreprise, chacun nécessitant 30 adresses IP. L’allocation IP totale serait la suivante :

(Quatre environnements x 30 adresses IP) + 5 adresses IP réservées = 125 adresses IP

Ce scénario nécessite un bloc CIDR de /25, d’une capacité de 128 adresses IP.

Stratégie d’entreprise hors production

Pour une stratégie d’entreprise hors production avec 20 environnements de développeur et de bac à sable (chacun nécessitant 10 adresses IP), l’allocation d’adresses IP totale serait la suivante :

(Vingt environnements x 10 adresses IP) + 5 adresses IP réservées = 205 adresses IP

Ce scénario nécessiterait un bloc CIDR de /24, qui a une capacité de 256 adresses IP et dispose de suffisamment d’espace pour ajouter d’autres environnements à la stratégie d’entreprise.

Scénarios pris en charge

Power Platform active la prise en charge du réseau virtuel pour les plug-ins Dataverse et les connecteurs. Grâce à cette prise en charge, vous pouvez établir une connectivité sortante sécurisée et privée entre Power Platform et les ressources dans votre réseau virtuel. Les plug-ins Dataverse et les connecteurs améliorent la sécurité de l’intégration des données en se connectant à des sources de données externes à partir des applications Power Apps, Power Automate et Dynamics 365. Par exemple, vous pouvez :

• Utilisez des plug-ins Dataverse pour vous connecter à vos sources de données cloud, telles qu’Azure SQL, Azure Storage, le stockage Blob ou Azure Key Vault. Vous pouvez protéger vos données contre l’exfiltration de données et autres incidents.
• Utilisez des plug-ins Dataverse pour vous connecter en toute sécurité à des ressources privées protégées par point de terminaison dans Azure, telles que l’API web, ou à toute ressource de votre réseau privé, telle que SQL et l’API web. Vous pouvez protéger vos données contre les violations de données et autres menaces externes.
• Utilisez les connecteurs pris en charge par le réseau virtuel comme SQL Server pour vous connecter en toute sécurité à vos sources de données hébergées dans le cloud, telles qu’Azure SQL ou SQL Server, sans les exposer à Internet. De la même manière, vous pouvez utiliser le connecteur Azure Queue pour établir des connexions sécurisées aux files d’attente Azure privées activées pour les points de terminaison.
• Utilisez le connecteur Azure Key Vault pour vous connecter en toute sécurité à Azure Key Vault privé et protégé par point de terminaison.
• Utilisez les connecteurs personnalisés pour vous connecter en toute sécurité à vos services protégés par des points de terminaison privés dans Azure ou des services hébergés au sein de votre réseau privé.
• Utilisez le Stockage de fichiers Azure pour vous connecter en toute sécurité au stockage de fichiers Azure privé et activé par le point de terminaison.
• Utilisez HTTP avec Microsoft Entra ID (pré-autorisé) pour récupérer en toute sécurité des ressources à partir de divers services web authentifiés par Microsoft Entra ID ou d’un service web local.

Limites

• Les plug-ins low-code Dataverse qui utilisent des connecteurs ne sont pris en charge que lorsque ces types de connecteurs sont mis à jour pour utiliser la délégation du sous-réseau.
• Vous utilisez des opérations de copie, de sauvegarde et de restauration du cycle de vie de l’environnement dans les environnements Power Platform pris en charge par le réseau virtuel. L’opération de restauration peut être effectuée au sein du même réseau virtuel et dans différents environnements, à condition qu’ils soient connectés au même réseau virtuel. De plus, l’opération de restauration est autorisée depuis les environnements qui ne prennent pas en charge les réseaux virtuels jusqu’à ceux qui les prennent en charge.

Régions prises en charge

Confirmez que votre environnement Power Platform et votre stratégie d’entreprise se trouvent dans des régions Power Platform et Azure prises en charge. Par exemple, si votre environnement Power Platform se trouve au Royaume-Uni, votre réseau virtuel et vos sous-réseaux doivent se trouver dans les régions uksouth et ukwest Azure. Dans le cas où une région Power Platform comporte plus de deux régions, vous devez vous assurer de choisir l’une des paires de régions disponibles. Par exemple, si votre environnement se trouve aux États-Unis, votre réseau virtuel et vos sous-réseaux doivent se trouver dans eastus et westus ou dans centralus et eastus2.

Services pris en charge

La table suivante répertorie les services qui prennent en charge la délégation du sous-réseau Azure pour la prise en charge du réseau virtuel pour Power Platform.

Environnements pris en charge

La prise en charge du réseau virtuel pour Power Platform n’est pas disponible pour tous les environnements Power Platform. Le tableau suivant répertorie les types d’environnement qui prennent en charge le réseau virtuel.

Éléments à prendre en compte pour activer la prise en charge du réseau virtuel Azure pour l'environnement Power Platform

Lorsque vous utilisez la prise en charge du réseau virtuel dans un environnement Power Platform, tous les services pris en charge, tels que les plug-ins et les connecteurs Dataverse, exécutent les demandes au moment de l’exécution dans votre sous-réseau délégué et sont soumis à vos stratégies réseau. Les appels aux ressources accessibles au public commencent à échouer.

Par exemple, un plug-in peut tenter de se connecter à un service accessible au public, mais votre politique réseau n’autorise pas l’accès à l’Internet public au sein de votre réseau virtuel. L’appel du plug-in est bloqué conformément à votre politique réseau. Pour éviter l’appel bloqué, vous pouvez héberger le service accessible au public dans votre réseau virtuel. Sinon, si votre service est hébergé dans Azure, vous pouvez utiliser un point de terminaison privé sur le service avant d’activer la prise en charge du réseau virtuel dans l’environnement Power Platform.

Questions fréquemment posées

Quelle est la différence entre une passerelle de données de réseau virtuel et la prise en charge du réseau virtuel Azure pour Power Platform ?

Une passerelle de données de réseau virtuel est une passerelle managée qui vous permet d’accéder aux services Azure et Power Platform à partir de votre réseau virtuel sans avoir à configurer une passerelle de données locale. Par exemple, la passerelle est optimisée pour les charges de travail ETL (extraire, transformer, charger) dans les flux de données Power BI et Power Platform.

La prise en charge du réseau virtuel Azure pour Power Platform utilise une délégation du sous-réseau Azure pour votre environnement Power Platform. Les sous-réseaux sont utilisés par les charges de travail dans l’environnement Power Platform. Les charges de travail de l’API Power Platform utilisent la prise en charge du réseau virtuel, car les requêtes sont éphémères et optimisées pour un grand nombre de requêtes.

Quels sont les scénarios où je dois utiliser la prise en charge du réseau virtuel pour Power Platform et la passerelle de données du réseau virtuel ?

La prise en charge du réseau virtuel pour Power Platform est la seule option prise en charge pour tous les scénarios de connectivité sortante de Power Platform, à l’exception des flux de données Power BI et Power Platform.

Les flux de données Power BI et Power Platform continuent d’utiliser la passerelle de données du réseau virtuel (vNet).

Comment pouvez-vous garantir qu’un sous-réseau du réseau virtuel ou une passerelle de données d’un client n’est pas utilisé par un autre client dans Power Platform ?

• La prise en charge du réseau virtuel four Power Platform utilise la délégation du sous-réseau Azure.

• Chaque environnement Power Platform est lié à un sous-réseau du réseau virtuel. Seuls les appels depuis cet environnement sont autorisés à accéder à ce réseau virtuel.

• La délégation vous permet de désigner un sous-réseau spécifique pour tout service Azure platform as a service (PaaS) qui doit être injecté dans votre réseau virtuel.

Le réseau virtuel prend-il en charge le basculement Power Platform ?

Oui, vous devez déléguer les réseaux virtuels pour les deux régions Azure associées à votre région Power Platform. Par exemple, si votre environnement Power Platform se trouve au Canada, vous devez créer, déléguer et configurer des réseaux virtuels dans CanadaCentral et CanadaEast.

Comment un environnement Power Platform dans une région peut-il se connecter à des ressources hébergées dans une autre région ?

Un réseau virtuel lié à un environnement Power Platform doit résider dans la région de l’environnement Power Platform. Si le réseau virtuel se trouve dans une autre région, créez un réseau virtuel dans la région de l’environnement Power Platform et utilisez l’appairage de réseaux virtuels sur les deux réseaux virtuels délégués du sous-réseau de la région Azure pour combler l’écart avec le réseau virtuel dans la région distincte.

Puis-je surveiller le trafic sortant des sous-réseaux délégués ?

Oui. Vous pouvez utiliser le groupe de sécurité réseau et des pare-feu pour surveiller le trafic sortant des sous-réseaux délégués. Pour en savoir plus, consultez Surveiller le réseau virtuel Azure.

Puis-je passer des appels via Internet à partir de plug-ins ou de connecteurs une fois mon environnement délégué au sous-réseau ?

Oui. Vous pouvez effectuer des appels Internet à partir de plug-ins ou de connecteurs, mais le sous-réseau délégué doit être configuré avec une passerelle Azure NAT.

Puis-je mettre à jour la plage d’adresses IP du sous-réseau une fois qu’il est délégué à « Microsoft.PowerPlatform/enterprisePolicies » ?

Non, pas tant que la fonctionnalité est utilisée dans votre environnement. Vous ne pouvez pas modifier la plage d’adresses IP du sous-réseau une fois qu’elle a été déléguée à « Microsoft.PowerPlatform/enterprisePolicies ». Dans ce cas, la configuration de la délégation est interrompue et l’environnement cesse de fonctionner. Pour modifier la plage d’adresses IP, vous devez supprimer la fonctionnalité de délégation de votre environnement, apporter les modifications nécessaires, puis activer la fonctionnalité pour votre environnement.

Puis-je mettre à jour l’adresse DNS de mon réseau virtuel après l’avoir déléguée à « Microsoft.PowerPlatform/enterprisePolicies » ?

Non, pas tant que la fonctionnalité est utilisée dans votre environnement. Vous ne pouvez pas modifier l’adresse DNS du réseau virtuel une fois qu’elle a été déléguée à « Microsoft.PowerPlatform/enterprisePolicies ». Si vous procédez ainsi, la modification n’est pas prise en compte dans notre configuration et votre environnement peut cesser de fonctionner. Pour modifier la plage d’adresses DNS, vous devez supprimer la fonctionnalité de délégation de votre environnement, apporter les modifications nécessaires, puis activer la fonctionnalité pour votre environnement.

Puis-je utiliser la même stratégie d’entreprise pour plusieurs environnements Power Platform ?

Oui. Vous pouvez utiliser la même stratégie d’entreprise pour plusieurs environnements Power Platform. Cependant, il existe une limitation : les environnements du cycle de lancement anticipé ne peuvent pas être utilisés avec la même stratégie d’entreprise que d’autres environnements.

Mon réseau virtuel dispose d’un DNS personnalisé configuré. Power Platform utilise-t-il mon DNS personnalisé ?

Oui. Power Platform utilise le DNS personnalisé configuré dans le réseau virtuel qui contient le sous-réseau délégué pour résoudre tous les points de terminaison. Une fois l’environnement délégué, vous pouvez mettre à jour les plug-ins pour utiliser le point de terminaison correct afin que votre DNS personnalisé puisse les résoudre.

Mon environnement dispose de plug-ins fournis par un ISV. Ces plug-ins fonctionneraient-ils dans le sous-réseau délégué ?

Oui. Tous les plug-ins de client et les plug-ins ISV peuvent s’exécuter à l’aide de votre sous-réseau. Si les plug-ins ISV disposent d’une connectivité sortante, ces URL devront peut-être être répertoriées dans votre pare-feu.

Les certificats TLS de mon point de terminaison local ne sont pas signés par des autorités de certification racine (CA) connues. Prenez-vous en charge les certificats inconnus ?

Non Nous devons garantir que le point de terminaison présente un certificat TLS avec la chaîne complète. Il n’est pas possible d’ajouter votre autorité de certification racine personnalisée à notre liste d’autorités de certification connues.

Quelle est la configuration recommandée d’un réseau virtuel au sein d’un locataire de client ?

Nous ne recommandons aucune topologie spécifique. Cependant, nos clients utilisent largement la topologie réseau hub-and-spoke dans Azure.

Est-il nécessaire de lier un abonnement Azure à mon client Power Platform pour activer le réseau virtuel ?

Oui, pour activer la prise en charge du réseau virtuel pour les environnements Power Platform, il est essentiel d’avoir un abonnement Azure associé au client Power Platform.

Comment Power Platform utilise-t-il la délégation de sous-réseau Azure ?

Lorsqu’un environnement Power Platform dispose d’un sous-réseau Azure délégué, il utilise l’injection de réseau virtuel Azure pour injecter le conteneur au moment de l’exécution dans un sous-réseau délégué. Au cours de ce processus, une carte d’interface réseau (NIC) du conteneur se voit attribuer une adresse IP du sous-réseau délégué. La communication entre l’hôte (Power Platform) et le conteneur s’effectue via un port local sur le conteneur, et le trafic circule via Azure Fabric.

Puis-je utiliser un réseau virtuel existant pour Power Platform ?

Oui, vous pouvez utiliser un réseau virtuel existant pour Power Platform, si un seul nouveau sous-réseau au sein du réseau virtuel est délégué spécifiquement à Power Platform. Le sous-réseau délégué doit être dédié à la délégation de sous-réseau et ne peut pas être utilisé à d’autres fins.

Puis-je réutiliser le même sous-réseau délégué dans plusieurs stratégies d’entreprise ?

Non La réutilisation du même sous-réseau dans plusieurs stratégies d’entreprise n’est pas prise en charge. Chaque stratégie d’entreprise Power Platform doit avoir son propre sous-réseau unique pour la délégation.

Qu’est-ce qu’un plug-in dans Dataverse ?

Un plug-in Dataverse est un bout de code personnalisé qui peut être déployé dans un environnement Power Platform. Ce plug-in peut être configuré pour s’exécuter lors d’événements (comme un changement de données) ou déclenché en tant qu’API personnalisée. En savoir plus : Plug-ins Dataverse

Comment un plug-in Dataverse s’exécute-t-il ?

Un plug-in Dataverse fonctionne dans un conteneur. Lorsqu’un environnement Power Platform se voit attribuer un sous-réseau délégué, une adresse IP de l’espace d’adressage de ce sous-réseau est allouée à la carte d’interface réseau (NIC) du conteneur. La communication entre l’hôte (Power Platform) et le conteneur s’effectue via un port local sur le conteneur, et le trafic circule via Azure Fabric.

Plusieurs plug-ins peuvent-ils s’exécuter dans le même conteneur ?

Oui. Dans un environnement Power Platform ou Dataverse donné, plusieurs plug-ins peuvent fonctionner au sein d’un même conteneur. Chaque conteneur consomme une adresse IP de l’espace d’adressage du sous-réseau et chaque conteneur peut exécuter plusieurs requêtes.

Comment l’infrastructure gère-t-elle une augmentation des exécutions simultanées de plug-ins ?

À mesure que le nombre d’exécutions simultanées de plug-ins augmente, l’infrastructure évolue vers le haut ou vers le bas pour s’adapter à la charge. Le sous-réseau délégué à un environnement Power Platform doit disposer de suffisamment d’espaces d’adressage pour gérer le volume maximal d’exécutions pour les charges de travail dans cet environnement Power Platform.

Qui contrôle le réseau virtuel et les politiques réseau qui lui sont associées ?

En tant que client, vous êtes propriétaire et contrôlez le réseau virtuel et les politiques réseau associées. D’autre part, Power Platform utilise les adresses IP allouées du sous-réseau délégué au sein de ce réseau virtuel.

Les plug-ins compatibles Azure prennent-ils en charge le réseau virtuel ?

Non, les plug-ins compatibles Azure ne prennent pas en charge le réseau virtuel.

Étapes suivantes

Configurer la prise en charge du réseau virtuel

Contenu connexe

Résoudre les problèmes de réseau virtuel