Observação
O acesso a essa página exige autorização. Você pode tentar entrar ou alterar diretórios.
O acesso a essa página exige autorização. Você pode tentar alterar os diretórios.
APLICA-SE A: Standard v2 | Premium v2
Este artigo orienta você pelo processo de configuração da integração de rede virtual para sua instância de Gerenciamento de API do Azure Standard v2 ou Premium v2. Com a integração de rede virtual, sua instância pode fazer solicitações de saída para APIs isoladas em uma única rede virtual conectada ou em qualquer rede virtual emparelhada, desde que a conectividade de rede esteja configurada corretamente.
Quando uma instância de Gerenciamento de API é integrada a uma rede virtual para solicitações de saída, os pontos de extremidade do gateway e do portal do desenvolvedor permanecem publicamente acessíveis. A instância de Gerenciamento de API pode alcançar serviços de back-end públicos e isolados pela rede.
Se você quiser injetar uma instância de Gerenciamento de API Premium v2 em uma rede virtual para isolar o tráfego de entrada e de saída, consulte Injetar uma instância Premium v2 em uma rede virtual.
Importante
- A integração de rede virtual de saída descrita neste artigo está disponível apenas para instâncias de Gerenciamento de API nas camadas Standard v2 e Premium v2. Para obter opções de rede nas diferentes camadas, consulte Usar uma rede virtual com o Gerenciamento de API do Azure.
- Você pode habilitar a integração de rede virtual ao criar uma instância de Gerenciamento de API na camada Standard v2 ou Premium v2 ou depois que a instância é criada.
- Atualmente, você não pode alternar entre a injeção de rede virtual e a integração de rede virtual para uma instância Premium v2.
Pré-requisitos
- Uma instância do Gerenciamento de API do Azure na camada de preços Standard v2 ou Premium v2
- (Opcional) Para teste, uma API de back-end de exemplo hospedada em uma sub-rede diferente na rede virtual. Por exemplo, consulte Tutorial: Estabelecer o acesso ao site privado do Azure Functions.
- Uma rede virtual com uma sub-rede em que as APIs de back-end do Gerenciamento de API estão hospedadas. Consulte as seções a seguir para obter requisitos e recomendações para a rede virtual e a sub-rede.
Local da rede
- A rede virtual precisa estar na mesma região e assinatura do Azure da instância do Gerenciamento de API.
Sub-rede dedicada
- A sub-rede usada para integração de rede virtual só pode ser usada por uma única instância do Gerenciamento de API. Ele não pode ser compartilhado com outro recurso do Azure.
Tamanho da sub-rede
- Mínimo: /27 (32 endereços)
- Recomendado: /24 (256 endereços) – para acomodar o dimensionamento da instância de Gerenciamento de API
Grupo de segurança de rede
Um NSG (grupo de segurança de rede) deve ser associado à sub-rede. Para configurar um grupo de segurança de rede, consulte Criar um grupo de segurança de rede.
- Configure as regras na tabela a seguir para permitir o acesso de saída ao Armazenamento do Azure e ao Azure Key Vault, que são dependências do Gerenciamento de API.
- Configure outras regras de saída necessárias para que o gateway alcance seus back-ends de API.
- Configure outras regras de NSG para atender aos requisitos de acesso à rede da sua organização. Por exemplo, as regras de NSG também podem ser usadas para bloquear o tráfego de saída para a Internet e permitir o acesso apenas aos recursos em sua rede virtual.
| Direção | Source | Intervalos de portas de origem | Destino | Intervalos de portas de destino | Protocolo | Ação | Propósito |
|---|---|---|---|---|---|---|---|
| Saída | Rede Virtual | * | Armazenamento | 443 | TCP | Allow | Dependência no Armazenamento do Azure |
| Saída | Rede Virtual | * | AzureKeyVault | 443 | TCP | Allow | Dependência do Azure Key Vault |
Importante
- As regras de NSG de entrada não se aplicam quando uma instância de camada v2 é integrada em uma rede virtual para acesso de saída privado. Para impor regras NSG de entrada, use a injeção de rede virtual em vez de integração.
- Isso difere da rede na camada Premium clássica, onde as regras NSG de entrada são aplicadas nos modos de injeção de rede virtual externa e interna. Saiba mais
Delegação de sub-rede
A sub-rede precisa ser delegada ao serviço Microsoft.Web/serverFarms.
Observação
O Microsoft.Web provedor de recursos deve ser registrado na assinatura para que você possa delegar a sub-rede ao serviço. Para obter etapas para registrar um provedor de recursos usando o portal, consulte Registrar provedor de recursos.
Para obter mais informações sobre como configurar a delegação de sub-rede, consulte Adicionar ou remover uma delegação de sub-rede.
Permissões
Você deve ter pelo menos as seguintes permissões de controle de acesso baseadas em função na sub-rede ou em um nível mais alto para configurar a integração de rede virtual:
| Ação | Descrição |
|---|---|
| Microsoft.Network/virtualNetworks/read | Ler a definição de rede virtual |
| Microsoft.Network/virtualNetworks/subnets/read | Ler uma definição de sub-rede de rede virtual |
| Microsoft.Network/virtualNetworks/subnets/join/action | Ingressar em uma rede virtual |
Configurar a integração de rede virtual
Esta seção orienta você pelo processo para configurar a integração de rede virtual externa para uma instância existente do Gerenciamento de API do Azure. Você também pode configurar a integração de rede virtual ao criar uma nova instância de Gerenciamento de API.
- No portal do Azure, navegue até a instância do Gerenciamento de API.
- No menu à esquerda, em Implantação + Infraestrutura, selecioneEditar>.
- Na página Configuração de rede, em recursos de saída, selecione Habilitar integração de rede virtual.
- Selecione a rede virtual e a sub-rede delegada que você deseja integrar.
- Clique em Salvar. A rede virtual é integrada.
(Opcional) Testar a integração de rede virtual
Se você tiver uma API hospedada na rede virtual, poderá importá-la para sua instância de Gerenciamento e testar a integração de rede virtual. Para obter etapas básicas, consulte Importar e publicar uma API.