Injetar uma instância de Gerenciamento de API do Azure em uma rede virtual privada – camada Premium v2

APLICA-SE A: Premium v2

Este artigo orienta você pelos requisitos para injetar sua instância do Azure API Management Premium v2 em uma rede virtual.

Quando uma instância do Gerenciamento de API Premium v2 é injetada em uma rede virtual:

• O ponto de extremidade do gateway de Gerenciamento de API é acessível por meio da rede virtual em um endereço IP privado.
• O Gerenciamento de API pode fazer solicitações de saída para back-ends de API isolados na rede ou em qualquer rede emparelhada, desde que a conectividade de rede esteja configurada corretamente.

Essa configuração é recomendada para cenários em que você deseja isolar o tráfego de rede para a instância de Gerenciamento de API e as APIs de back-end.

Se você quiser habilitar acesso público de entrada a uma instância de Gerenciamento de API na camada Standard v2 ou Premium v2, mas limitar o acesso de saída a back-ends isolados pela rede, consulte Integrar com uma rede virtual para conexões de saída.

Pré-requisitos

• Uma instância do Gerenciamento de API do Azure no tipo de preço Premium v2.
• Uma rede virtual em que seus aplicativos cliente e suas APIs de back-end do Gerenciamento de API estão hospedados. Consulte as seções a seguir para obter requisitos e recomendações para a rede virtual e a sub-rede usadas para a instância de Gerenciamento de API.

Local de rede

• A rede virtual precisa estar na mesma região e assinatura do Azure da instância do Gerenciamento de API.

Sub-rede dedicada

• A sub-rede usada para injeção de rede virtual só pode ser usada por uma única instância do Gerenciamento de API. Não pode ser compartilhada com outro recurso do Azure.

Tamanho da sub-rede

• Mínimo: /27 (32 endereços)
• Recomendado: /24 (256 endereços) – para acomodar o dimensionamento da instância de Gerenciamento de API

Grupo de segurança de rede

Um NSG (grupo de segurança de rede) deve ser associado à sub-rede. Para configurar um grupo de segurança de rede, consulte Criar um grupo de segurança de rede.

• Configure as regras na tabela a seguir para permitir o acesso de saída ao Armazenamento do Azure e ao Azure Key Vault, que são dependências do Gerenciamento de API.
• Configure outras regras de saída necessárias para que o gateway alcance seus back-ends de API.
• Configure outras regras de NSG para atender aos requisitos de acesso à rede da sua organização. Por exemplo, as regras de NSG também podem ser usadas para bloquear o tráfego de saída para a Internet e permitir o acesso apenas aos recursos em sua rede virtual.

Delegação de sub-rede

A sub-rede precisa ser delegada ao serviço Microsoft.Web/hostingEnvironments.

Para obter mais informações sobre como configurar a delegação de sub-rede, consulte Adicionar ou remover uma delegação de sub-rede.

Permissões

Você deve ter pelo menos as seguintes permissões de controle de acesso baseado em função na sub-rede ou em um nível superior para configurar a injeção de rede virtual:

Injetar o Gerenciamento de API em uma rede virtual

Ao criar uma instância Premium v2 usando o portal do Azure, opcionalmente, você pode definir configurações para injeção de rede virtual.

1. No assistente Criar serviço de Gerenciamento de API, selecione a guia de Rede.
2. No tipo Conectividade, selecione Rede virtual.
3. Em Tipo, selecione Injeção de Rede Virtual.
4. Em Configurar redes virtuais, selecione a rede virtual e a sub-rede delegada que você deseja injetar.
5. Conclua o assistente para criar a instância de Gerenciamento de API.

Configurações de DNS para acesso ao endereço IP privado

Quando uma instância de Gerenciamento de API Premium v2 é injetada em uma rede virtual, você precisa gerenciar seu próprio DNS para habilitar o acesso de entrada ao Gerenciamento de API.

Embora você tenha a opção de usar um servidor DNS privado ou personalizado, recomendamos:

1. Configurar uma zona privada DNS do Azure.
2. Vincule a zona privada DNS do Azure à rede virtual.

Saiba como configurar uma zona privada no DNS do Azure.

Acesso ao ponto de extremidade no nome do host padrão

Quando você cria uma instância de Gerenciamento de API na camada Premium v2, o seguinte ponto de extremidade recebe um nome de host padrão:

• Gateway – exemplo: contoso-apim.azure-api.net

Configurar registro DNS

Crie um registro A no servidor DNS para acessar a instância de Gerenciamento de API de dentro de sua rede virtual. Mapeie o registro de ponto de extremidade para o endereço VIP privado da instância de Gerenciamento de API.

Para fins de teste, você pode atualizar o arquivo de hosts em uma máquina virtual em uma sub-rede conectada à rede virtual na qual o Gerenciamento de API é implantado. Supondo que o endereço IP virtual privado para sua instância de Gerenciamento de API seja 10.1.0.5, você pode mapear o arquivo de hosts, conforme mostrado no exemplo a seguir. O arquivo de mapeamento de hosts está em %SystemDrive%\drivers\etc\hosts (Windows) ou /etc/hosts (Linux, macOS). Por exemplo:

Conteúdo relacionado

• Usar uma rede virtual com o Gerenciamento de API do Azure
• Configurar um nome de domínio personalizado para a sua instância do Gerenciamento de API do Azure