Wdrożenie instancji usługi Azure API Management w prywatnej sieci wirtualnej — warstwa Premium v2

DOTYCZY: Premium v2

W tym artykule przedstawiono wymagania dotyczące wdrożenia wystąpienia usługi Azure API Management Premium v2 w wirtualną sieć.

Po umieszczeniu wirtualnej sieci wystąpienia usługi API Management Premium w wersji 2:

• Punkt końcowy bramy usługi API Management jest dostępny za pośrednictwem sieci wirtualnej pod prywatnym adresem IP.
• Usługa API Management może wysyłać żądania wychodzące do zapleczy interfejsu API, które są izolowane w sieci lub dowolnej sieci równorzędnej, o ile łączność sieciowa jest prawidłowo skonfigurowana.

Ta konfiguracja jest zalecana w scenariuszach, w których chcesz odizolować ruch sieciowy zarówno do instancji API Management, jak i do API backendu.

Jeśli chcesz włączyć publiczny dostęp przychodzący do wystąpienia usługi API Management na poziomie Standard v2 lub Premium v2, ale ograniczyć dostęp wychodzący do sieciowo odizolowanych zapleczy, zobacz Integracja z siecią wirtualną dla połączeń wychodzących.

Wymagania wstępne

• Instancja usługi Azure API Management w warstwie cenowej Premium v2.
• Sieć wirtualna, w której są hostowane aplikacje klienckie i interfejsy API zaplecza usługi API Management. Zapoznaj się z poniższymi sekcjami, aby zapoznać się z wymaganiami i zaleceniami dotyczącymi sieci wirtualnej i podsieci używanej dla wystąpienia usługi API Management.

Lokalizacja sieciowa

• Sieć wirtualna musi znajdować się w tym samym regionie i subskrypcji platformy Azure co wystąpienie usługi API Management.

Dedykowana podsieć

• Podsieć używana do integracji z siecią wirtualną może być używana tylko przez jedną instancję usługi API Management. Nie można go udostępnić innemu zasobowi platformy Azure.

Rozmiar podsieci

• Minimum: /27 (32 adresy)
• Zalecane: /24 (256 adresów) — aby dostosować skalowanie instancji usługi API Management

Przykłady

W poniższej tabeli przedstawiono przykłady rozmiarów podsieci dla iniekcji wirtualnej sieci API Management, pokazujące, jak różne bloki CIDR wpływają na liczbę możliwych jednostek skalowania.

^* Limit premium w wersji 2

Kwestie kluczowe

• Minimalny rozmiar podsieci: /27 (udostępnia 24 adresy IP do użycia dla usługi API Management)
• Zastrzeżone adresy IP platformy Azure: 5 adresów na podsieć (pierwsza i ostatnia w przypadku zgodności protokołu oraz 3 dla usług platformy Azure)
• Wymaganie skalowania w poziomie: każda jednostka skalowania w poziomie wymaga 2 adresów IP
• Wewnętrzny moduł równoważenia obciążenia: wymagany tylko w przypadku wdrożenia usługi API Management w wewnętrznym trybie sieci wirtualnej
• Limit Premium V2: obecnie obsługuje maksymalnie 30 jednostek.

Sieciowa grupa zabezpieczeń

Sieciowa grupa zabezpieczeń musi być skojarzona z podsiecią. Aby skonfigurować sieciową grupę zabezpieczeń, zobacz Tworzenie sieciowej grupy zabezpieczeń.

• Skonfiguruj reguły w poniższej tabeli, aby zezwolić na dostęp wychodzący do usług Azure Storage i Azure Key Vault, które są zależnościami usługi API Management.
• Skonfiguruj inne reguły ruchu wychodzącego, których potrzebujesz, aby brama mogła dotrzeć do zaplecza API.
• Skonfiguruj inne reguły grupy zabezpieczeń sieciowych, aby spełnić wymagania dotyczące dostępu do sieci w organizacji. Na przykład reguły NSG (Network Security Group) mogą również służyć do blokowania ruchu wychodzącego do Internetu i zezwalania na dostęp tylko do zasobów w twojej sieci wirtualnej.

Delegowanie podsieci

Podsieć musi być delegowana do usługi Microsoft.Web/hostingEnvironments .

Aby uzyskać więcej informacji na temat konfigurowania delegowania podsieci, zobacz Dodawanie lub usuwanie delegowania podsieci.

Uprawnienia

Aby skonfigurować iniekcję sieci wirtualnej, musisz mieć co najmniej następujące uprawnienia kontroli dostępu opartej na rolach w podsieci lub na wyższym poziomie:

Wdrożenie API Management w sieć wirtualną

Podczas tworzenia wystąpienia Premium v2 przy użyciu portalu Azure, można opcjonalnie skonfigurować ustawienia integracji z siecią wirtualną.

1. W kreatorze Tworzenie usługi API Management wybierz kartę Sieć .
2. W obszarze Typ połączenia wybierz pozycję Sieć wirtualna.
3. W polu Typ wybierz pozycję Iniekcja sieci wirtualnej.
4. W Konfigurowaniu sieci wirtualnych wybierz sieć wirtualną i delegowaną podsieć, które chcesz wdrożyć.
5. Ukończ pracę kreatora, aby utworzyć wystąpienie usługi API Management.

Ustawienia DNS na potrzeby dostępu do prywatnego adresu IP

Po umieszczeniu wystąpienia usługi API Management w wersji Premium v2 w sieci wirtualnej, należy zarządzać własnym systemem DNS, aby umożliwić dostęp przychodzący do API Management.

Chociaż masz możliwość korzystania z prywatnego lub niestandardowego serwera DNS, zalecamy:

1. Konfigurowanie strefy prywatnej usługi Azure DNS.
2. Połącz strefę prywatną usługi Azure DNS z siecią wirtualną.

Dowiedz się, jak skonfigurować strefę prywatną w usłudze Azure DNS.

Dostęp do punktu końcowego w domyślnej nazwie hosta

Podczas tworzenia instancji usługi API Management w warstwie Premium w wersji 2, do domyślnej nazwy hosta przypisywany jest następujący punkt końcowy:

• Brama — przykład: contoso-apim.azure-api.net

Konfigurowanie rekordu DNS

Utwórz rekord A na serwerze DNS, aby uzyskać dostęp do wystąpienia usługi API Management z poziomu sieci wirtualnej. Przypisz rekord końcowy do prywatnego adresu VIP Twojej instancji usługi API Management.

W celach testowych można zaktualizować plik hostów na maszynie wirtualnej w podsieci połączonej z siecią wirtualną, w której wdrożono usługę API Management. Zakładając, że prywatny wirtualny adres IP wystąpienia usługi API Management to 10.1.0.5, możesz zmapować plik hosts, jak pokazano w poniższym przykładzie. Plik mapowania hostów znajduje się w systemie %SystemDrive%\drivers\etc\hosts (Windows) lub /etc/hosts (Linux, macOS). Na przykład:

Powiązana zawartość

• Używanie sieci wirtualnej z usługą Azure API Management
• Skonfiguruj niestandardową nazwę domeny dla wystąpienia usługi Azure API Management