Documento técnico do suporte de Rede Virtual

Sua organização pode usar a Rede Virtual do Azure para garantir que seus Power Platform serviços operem em um ambiente de rede seguro e controlado, reduzindo o risco de violações de dados e acesso não autorizado. Este white paper fornece uma análise aprofundada do suporte da Rede Virtual do Azure em Power Platform. Ele destaca os principais benefícios, descreve o processo de implementação e a arquitetura técnica, discute casos de uso do mundo real e oferece insights práticos de um estudo de caso bem-sucedido, tornando-o um recurso valioso para profissionais de TI e tomadores de decisão que procuram melhorar seus benefícios de segurança de rede e eficiência operacional.

Principais benefícios

• Segurança aprimorada: hospede Power Platform serviços em uma rede segura, protegendo dados confidenciais contra acesso não autorizado e possíveis violações.

• Conectividade melhorada: estabeleça ligações seguras e fiáveis entre os serviços do Power Platform e outros recursos do Azure, o que melhora a conectividade global.

• Gerenciamento de rede simplificado: simplifique o gerenciamento de rede com uma abordagem centralizada e consistente para configurar e gerenciar definições de rede para Power Platform serviços.

• Escalabilidade: Dimensione Power Platform os serviços de forma eficiente, garantindo que os recursos da rede possam crescer de acordo com as necessidades dos negócios.

• Conformidade: satisfaça os requisitos regulamentares e de conformidade para segurança de rede e proteção de dados.

Fundo

Microsoft Power Platform é uma plataforma líder low-code/no-code que permite que as pessoas criem aplicativos, automatizem fluxos de trabalho e analisem dados, mesmo que não sejam desenvolvedores profissionais, para criar soluções personalizadas adaptadas às necessidades específicas dos negócios, promovendo a inovação e aumentando a produtividade. Power Platform engloba os seguintes serviços da Microsoft:

• Dataverse serve como a plataforma de dados subjacente, o que fornece um ambiente seguro e dimensionável para armazenar e gerir dados.
• Power Apps oferece uma interface amigável para a criação de aplicativos personalizados.
• Power Automate oferece uma interface de arrastar e soltar para automatizar tarefas repetitivas e fluxos de trabalho.
• O Power BI oferece recursos robustos de visualização e análise de dados.
• Power Pages oferece uma interface amigável para a construção de sites de nível profissional.
• Copilot Studio facilita a criação de bots e agentes inteligentes sem conhecimento profundo da engenharia de IA.

A integração desses componentes com os recursos do Azure usando redes virtuais aprimora Power Platform a funcionalidade geral e a segurança do Azure. As redes virtuais fornecem um ambiente de rede seguro e isolado no qual Power Platform os serviços podem operar, permitindo que sua organização controle e gerencie o tráfego de rede e, ao mesmo tempo, garanta que os dados sejam protegidos em conformidade com os requisitos regulamentares.

Segurança de rede e integração de Rede Virtual

A segurança da rede é um aspeto crítico de qualquer infraestrutura digital. Proteger o tráfego de saída dos serviços do Power Platform é essencial para evitar acesso não autorizado, falha de segurança de dados e outras ameaças à segurança. A integração da Rede Virtual desempenha um papel vital. Ao fornecer um caminho seguro para a transmissão de dados, garantindo que todo o tráfego dos serviços seja encaminhado através de um ambiente de Power Platform rede controlado e monitorizado, reduz o risco de exposição a potenciais ameaças.

Ao implementar o suporte à Rede Virtual, sua organização pode aplicar políticas de segurança rígidas, monitorar o tráfego de rede e detetar quaisquer anomalias em tempo real. Este nível de controlo é crucial para manter a integridade e a confidencialidade dos dados confidenciais. Ao mesmo tempo, a integração da Rede Virtual simplifica sua arquitetura de rede geral e melhora a fiabilidade, permitindo que Power Platform os serviços se conectem perfeitamente com outros recursos do Azure.

Descrição geral do suporte de Rede Virtual no Power Platform

O suporte à Rede Virtual é um aprimoramento significativo que traz segurança robusta e conectividade Power Platform aprimorada. As redes virtuais são um componente fundamental dos recursos de rede do Azure, permitindo que sua organização conecte Power Platform serviços a recursos em suas redes privadas corporativas. Eles estabelecem comunicação segura entre Power Platform serviços, outros recursos do Azure e redes, como serviços locais, bancos de dados, contas de armazenamento e um cofre de chaves.

Ao rotear todo o tráfego de saída de serviços por meio de Power Platform uma rede virtual, sua organização pode garantir que os dados sejam transmitidos com segurança e permaneçam protegidos contra acesso não autorizado. Uma rede virtual também melhora a conectividade, fornecendo um ambiente de rede confiável e consistente. Estabelecer conexões seguras entre Power Platform serviços e outros recursos do Azure garante um fluxo de dados contínuo e um uso mais eficiente dos recursos de rede.

Nos bastidores

Power Platform A infraestrutura consiste em uma camada de orquestração de contêineres sem servidor que executa cargas de trabalho com um limite de segurança rigoroso e garante disponibilidade e escalabilidade individuais no nível da carga de trabalho. A camada de orquestração de contêineres é usada para todas as cargas de trabalho que precisam de isolamento, incluindo conectores internos semelhantes a cargas de trabalho da Microsoft e cargas de trabalho de clientes como plug-ins.

A carga de trabalho em contentor permite Power Platform dar suporte ao isolamento no nível da rede usando uma combinação de delegação de sub-rede do Azure e recursos de injeção de Rede Virtual. Com a injeção de Rede Virtual, um contentor pode ser injetado em uma rede virtual conectando uma placa de interface de rede. Qualquer carga de trabalho em execução nesse contentor é executada na rede do cliente e pode usar endereços IP privados dentro da rede. As cargas de trabalho de plug-in podem acessar serviços de utilizador, recursos ou recursos do Azure com um link privado exposto à mesma rede virtual. Da mesma forma, uma carga de trabalho de conector pode acessar o recurso ou ponto de extremidade de destino dentro da mesma rede virtual.

Delegação de sub-redes do Azure

O suporte de Rede Virtual para o Power Platform depende da Delegação de sub-redes do Azure. As empresas delegam uma sub-rede para uso por Power Platform serviços, como Dataverse plug-ins e conectores, para processar solicitações em tempo de execução. Os contentores usam o endereço IP da sub-rede delegada para processar estes pedidos.

Como o contentor opera dentro dos limites da sub-rede delegada e usa seu endereço IP, qualquer chamada de saída do contentor permanece dentro dos limites de rede da empresa, ou seja, a chamada permanece na rede virtual que faz parte dessa sub-rede. Essa configuração permite que sua organização tenha controle total sobre as políticas, regras e pacotes de rede para contêineres. Você pode aplicar os mesmos controles à sub-rede delegada que aplica à sua própria rede.

O Power Platform não gere a configuração da sub-rede delegada. O único requisito é que a sub-rede delegada não possa ser usada para outros recursos ou delegada a outros serviços. Depois que uma sub-rede é delegada, os endereços IP dentro dessa sub-rede são reservados para Power Platform.

O acesso à Internet a partir de contêineres está desativado por padrão. Se o código em execução em contêineres exigir acesso à Internet, você deverá configurar o Gateway NAT do Azure na sub-rede delegada para permitir que os contêineres se conectem a recursos na Internet.

A tabela a seguir resume a propriedade da sub-rede delegada e os controles disponíveis para clientes e Microsoft.

Arquitetura técnica

O diagrama a seguir da arquitetura técnica de uma Power Platform solução mostra como componentes como fontes de dados, conectores, serviços e aplicativos interagem e se integram na solução. O diagrama destaca o uso de redes virtuais para melhorar a segurança e a conectividade, permitindo que Power Platform os serviços se conectem a recursos privados e protegidos sem expô-los à Internet. A arquitetura demonstra como as solicitações de execução são roteadas para contêineres na rede virtual, mantendo os limites de isolamento de contentor.

Em uma configuração de Rede Virtual, o contentor que executa o plug-in ou conector faz parte da rede virtual da organização. A comunicação com pontos de extremidade na rede virtual permanece dentro do limite da rede virtual. Você pode estender o limite para outras redes virtuais ou locais usando o emparelhamento de Rede Virtual e a Rota Expressa ou o Gateway de VPN.

Power Platform Os componentes em uma carga de trabalho conteinerizada de uma rede virtual devem ser capazes de se comunicar com outros componentes na carga de trabalho. Por exemplo, Power Platform pode ser necessário acionar um plug-in ou chamar um conector na carga de trabalho.

Como o contentor não está diretamente conectado à infraestrutura de rede principal, um caminho de comunicação especial, ou canal, é estabelecido entre o contentor e a camada de orquestração. O canal usa um endereço IP local especial, chamado de endereço APIPA, para enviar instruções ou sinais específicos para a carga de trabalho em execução dentro do contentor. Apenas certos tipos de mensagens têm permissão para alcançar a carga de trabalho, garantindo que o contentor e sua carga de trabalho permaneçam seguros e isolados.

O diagrama a seguir ilustra como os contêineres são isolados uns dos outros e do sistema host usando redes virtuais que roteiam solicitações de execução para contêineres, mantendo limites de isolamento.

Ativar o suporte de Rede Virtual para o Power Platform

Siga as instruções em Configurar suporte de Rede Virtual para Power Platform.

Casos de uso comuns e exemplos do mundo real

Nesta secção, você aprenderá sobre casos de uso comuns para redes virtuais com Power Platform soluções. Você também explora exemplos do mundo real de como vários setores se beneficiaram ao usá-los.

Casos de utilização

Integração segura de dados: sua organização pode usar o suporte de Rede Virtual para conectar Power Platform serviços com segurança a suas fontes de dados privadas, como o Banco de Dados SQL do Azure, o Armazenamento do Azure e recursos locais. Uma rede virtual garante que os dados permaneçam dentro dos limites de rede da organização e não sejam expostos à Internet pública.

Pontos de extremidade privados para conectores:conectores podem usar o suporte de Rede Virtual para estabelecer pontos de extremidade privados para comunicações seguras Power Platform . A rede privada elimina a necessidade de endereços IP públicos e reduz o risco de falha de segurança de dados.

Integrações seguras Copilot Studio : Você pode usar o suporte à Rede Virtual com Power Platform conectores para Copilot Studio estabelecer conectividade segura com fontes de dados. A rede privada elimina os riscos associados à exposição das fontes de dados à internet pública e mitiga os riscos de exfiltração de dados.

Exemplos do mundo real

Organizações de todos os setores podem se beneficiar do suporte à Rede Virtual Power Platform. Ao conectar Power Platform serviços com segurança a fontes de dados privadas, as organizações podem aprimorar sua postura de segurança, melhorar a conectividade e garantir a conformidade com os requisitos regulamentares.

Instituições financeiras: um grande banco pode usar uma rede virtual para conectar Power Platform com segurança soluções e aplicativos do Dynamics 365 a seus bancos de dados e serviços protegidos. Essa configuração permite que o banco crie fluxos de trabalho seguros e automatize processos sem expor informações confidenciais à internet pública, garantindo que os dados dos clientes estejam protegidos e em conformidade com os requisitos regulatórios.

Prestadores de cuidados de saúde: uma organização de cuidados de saúde pode utilizar uma rede virtual para ligar Power Platform soluções e aplicações Dynamics 365 aos seus sistemas de registos de saúde eletrónicos. A rede privada pode ser usada para acesso seguro aos dados dos pacientes e para criar canais de comunicação seguros entre departamentos e entre o fornecedor e parceiros externos.

Empresas de retalho: uma empresa de retalho pode usar uma rede virtual para conectar Power Platform soluções e aplicativos Dynamics 365 com segurança a seus sistemas de gerenciamento de estoque e bancos de dados de clientes. As ligações privadas permitem que a empresa simplifique as operações, melhore o rastreamento do inventário e melhore o suporte ao cliente, garantindo que os dados confidenciais permanecem protegidos.

Agências governamentais: as agências governamentais podem usar uma rede virtual para conectar Power Platform com segurança soluções e aplicativos do Dynamics 365 a seus sistemas internos e bancos de dados. As conexões privadas permitem que as agências automatizem processos, melhorem o compartilhamento de dados e aprimorem a colaboração, mantendo rígidos padrões de segurança e conformidade.

Padrões de integração

Os tipos de cargas de trabalho que você deseja executar em um ambiente determinam o padrão Power Platform de integração. Pode usar o suporte de Rede Virtual para o Power Platform como um padrão de integração no seu ambiente, com algumas exceções.

Cargas de trabalho de API: se você planeja executar cargas de trabalho de API como plug-ins, conectores ou pontos de extremidade de serviço, uma rede virtual é a única maneira suportada de integrá-las com segurança com fontes de dados dentro da rede. As redes virtuais não suportam um subconjunto de conectores que não tenham requisitos de driver da Microsoft ou usem autenticação do Windows. Esses conectores não são amplamente utilizados e devem usar um gateway de dados local em vez de uma rede virtual. Os seguintes plug-ins e conectores estão geralmente disponíveis para uso em uma rede virtual:

• Plug-ins do Dataverse
• Conectores personalizados
• Armazenamento de Blobs do Azure
• Armazenamento de Ficheiros do Azure
• Azure Key Vault
• Filas do Azure
• Azure SQL Data Warehouse
• HTTP com Microsoft Entra ID (preautorizado)
• SQL Server

Cargas de trabalho ETL: extrair, transformar, carregar cargas de trabalho (ETL) e Power BIPower Platform fluxos de dados usam gateways de dados de rede virtual.

O diagrama a seguir ilustra os padrões de integração para cargas de trabalho de API e ETL.

Questões de configuração

Tenha em mente as seguintes considerações ao configurar o suporte de Rede Virtual para Power Platform.

Regiões e localizações

As sub-redes delegadas nas regiões do Azure devem corresponder ao local do Power Platform ambiente. Por exemplo, se seu Power Platform ambiente estiver nos Estados Unidos, cada uma das duas redes virtuais e sub-redes deverá estar nas regiões e eastus do westus Azure. Verifique a lista de regiões suportadas e mapeamentos de localização para obter as informações mais recentes sobre regiões e localizações do Azure.

Se seus recursos do Azure estiverem em regiões diferentes do Azure, você ainda deverá implantar suas redes virtuais para Power Platform ambientes no local apropriado do Azure para cada ambiente. Use o emparelhamento de Rede Virtual ou uma opção de conectividade semelhante com alta velocidade e baixa latência para conectar os recursos com suas redes virtuais. A rede global da Microsoft oferece várias opções para estabelecer conectividade entre a rede virtual e a Power Platform rede virtual da sua empresa.

Tamanho da sub-rede

O tamanho da sub-rede delegada em uma rede virtual deve acomodar o crescimento futuro no uso e a adição de novos serviços. O dimensionamento adequado da sub-rede garante que os pedidos não sejam limitados. Para obter mais informações sobre como dimensionar sua sub-rede, vá para Estimando o tamanho da sub-rede para Power Platform ambientes.

Gateway do Azure NAT

O Gateway do Azure NAT usa a conversão de endereços de rede (NAT) para permitir que contêineres em uma sub-rede delegada se conectem com segurança aos recursos da Internet, convertendo os endereços IP privados das instâncias de contentor para um endereço IP público estático. Os endereços IP estáticos permitem conexões de saída consistentes e seguras.

Se sua organização implementar o suporte à Rede Virtual em um ambiente sem migrar todas as fontes de dados para a rede privada, você deverá configurar o Gateway do Azure NAT . É necessário para evitar interrupções nas integrações existentes que exigem acesso a recursos da Internet, permitindo que você faça a transição de suas integrações para a Rede Virtual sem afetar as cargas de trabalho atuais.

Monitorização da rede

O monitoramento de rede rastreia e analisa o fluxo de tráfego na sub-rede delegada, o que é essencial para identificar e resolver possíveis problemas. Ao fornecer informações sobre o desempenho e a integridade dos componentes da rede, o monitoramento ajuda a garantir que a rede esteja a operar de forma eficiente e segura. As ferramentas de monitoramento podem detetar anomalias, como padrões de tráfego incomuns ou tentativas de acesso não autorizado, permitindo intervenção e mitigação oportunas.

Grupos de segurança de rede

Os NSGs (grupos de segurança de rede) permitem definir regras de segurança que controlam o tráfego de e para os recursos do Azure. Ao delegar uma sub-rede, você pode configurar NSGs para garantir que apenas o tráfego autorizado seja permitido, ajudando a manter a segurança e a integridade da rede. Os NSGs podem ser aplicados a sub-redes e interfaces de rede individuais ao proporcionar flexibilidade na gestão de tráfego em diferentes níveis.

Melhores práticas para proteger ligações de saída de serviços do Power Platform

As práticas recomendadas a seguir ajudam a proteger as conexões de saída dos serviços, o que é crucial para reduzir os riscos de exfiltração de dados e garantir a conformidade com as políticas de Power Platform segurança.

• Restringir o tráfego de saída: limite o tráfego de saída dos recursos do Power Platform a pontos finais específicos. Use grupos de segurança de rede e o Firewall do Azure para impor regras de tráfego e controlar o acesso.

• Usar pontos de extremidade privados: use pontos de extremidade privados para comunicação segura entre Power Platform serviços e recursos do Azure. Os pontos de extremidade privados garantem que o tráfego permaneça dentro da rede do Azure e não atravesse a Internet pública.

• Monitorar e auditar o tráfego: use o Azure Network Watcher e o Microsoft Sentinel para monitorar e auditar o tráfego de saída dos Power Platform serviços para ajudá-lo a identificar e responder a possíveis ameaças à segurança em tempo real.

• Aplicar políticas de segurança: imponha políticas de segurança usando a Política do Azure e o Firewall do Azure para garantir que todas as conexões de saída estejam em conformidade com os requisitos de segurança da sua organização. Para controlar o fluxo de dados, aplique políticas de prevenção de perda de dados e filtragem de ponto final aos conectores.

Exemplos de definições de rede virtual

Nesta secção, fornecemos exemplos de definições para suporte Power Platform à Rede Virtual. Essas definições ilustram como configurar redes virtuais e sub-redes para diferentes cenários, garantindo conectividade segura entre Power Platform serviços e recursos do Azure.

Quando seus recursos do Azure estão em uma região emparelhada do Azure e o Power Platform ambiente está nos Estados Unidos

Neste cenário, fazemos as seguintes suposições:

• Seu Power Platform ambiente está localizado nos Estados Unidos.
• A região do Azure para a rede virtual está definida como Oeste dos EUA e Leste dos EUA.
• Os recursos da sua empresa estão em uma rede virtual, VNET1, na região Oeste dos EUA.

A seguinte configuração mínima é necessária para configurar o suporte de rede virtual neste cenário:

1. Crie uma rede virtual, VNet1, no oeste dos EUA e configure sub-redes para delegação.
2. Crie uma segunda rede virtual, VNet2, no Leste dos EUA e configure sub-redes para delegação.
3. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet2.
4. Configure Power Platform a integração de Rede Virtual para os ambientes desejados usando as sub-redes criadas nas etapas 1 e 2.

Quando seus recursos do Azure estão na região do Azure dos EUA Central e o Power Platform ambiente está nos Estados Unidos

Neste cenário, fazemos as seguintes suposições:

• Seu Power Platform ambiente está localizado nos Estados Unidos.
• A região principal e de failover do Azure para a rede virtual está definida como Oeste dos EUA e Leste dos EUA, respectivamente.
• Os recursos da sua empresa estão em uma rede virtual, VNet1, na região dos EUA Central.

A seguinte configuração mínima é necessária para configurar o suporte de rede virtual neste cenário:

1. Crie uma rede virtual, VNet2, no oeste dos EUA e configure sub-redes para delegação.
2. Crie outra rede virtual, VNet3, no Leste dos EUA e configure sub-redes para delegação.
3. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet2.
4. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet3.
5. Configure Power Platform a integração de Rede Virtual para os ambientes desejados usando as sub-redes criadas nas etapas 1 e 2.

Caso prático

O estudo de caso a seguir ilustra como um cliente da Microsoft implementou com sucesso o suporte à Rede Virtual para Power Platform aprimorar a segurança e a conectividade, garantindo a conformidade com os requisitos regulamentares.

Uma empresa melhora sua agilidade de negócios com IA generativa e integração segura usando a Rede Virtual do Azure

Para explorar casos práticos de uso de negócios para IA generativa, nosso cliente realizou um hackathon. O evento reuniu vários desenvolvedores cidadãos, que construíram um protótipo bem-sucedido em apenas um mês usando Power Platform os Serviços de IA do Azure. O hackathon não só mostrou o potencial da IA generativa, como também proporcionou valiosa experiência prática aos participantes, promovendo a inovação e a colaboração dentro da organização.

Desafios do cliente: A transição do protótipo para a produção impôs desafios significativos. O principal obstáculo foi estabelecer uma arquitetura de rede privada e segura no Power Platform e no Azure que cumprisse as rigorosas políticas de segurança interna da empresa. Garantir a privacidade e a segurança dos dados, mantendo a agilidade e a escalabilidade, era crucial para o cliente.

Solução: o cliente usou a delegação de sub-rede do Azure — em outras palavras, uma rede virtual — com um ambiente gerenciado para estabelecer uma arquitetura de rede privada entre Power Platform os recursos privados do Azure. Usando essa arquitetura, o cliente conectou com segurança seus Power Platform aplicativos aos serviços do Azure sem expor dados confidenciais à Internet pública.

Benefícios: A implementação desta solução rendeu vários benefícios importantes.

• O cliente construiu uma base de integração segura e ágil entre Power Platform o Azure, acelerando a realização do valor comercial. A integração permitiu um fluxo de dados contínuo e uma colaboração aprimorada entre departamentos.

• A nova arquitetura eliminou custos e limitações associados a gateways de dados no local. Ao evitar a necessidade de infraestrutura no local, o cliente pode reduzir as despesas operacionais e simplificar a manutenção.

• O cliente agora está pronto para integrar outras fontes de dados internas, como Amazon Web Services privadas e APIs locais, por meio dessa plataforma Azure ExpressRoute. A expansão permite que o cliente use uma gama mais ampla de dados e serviços, impulsionando ainda mais a inovação e a eficiência.

Conclusão

Neste white paper, exploramos vários aspetos da integração do suporte Power Platform à Rede Virtual. Discutimos os benefícios de segurança do uso de uma rede virtual, como proteger dados confidenciais contra acesso não autorizado e garantir uma comunicação segura entre Power Platform serviços e recursos privados. Discutimos casos de uso comuns e exemplos do mundo real, fornecemos padrões de integração para diferentes cenários e oferecemos considerações para configurar o suporte à Rede Virtual. Compartilhamos as melhores práticas para proteger conexões de saída de Power Platform serviços, incluindo:

• Restringir o tráfego de saída
• Utilizar pontos finais privados e delegação de sub-rede
• Monitorizar e auditar tráfego
• Aplicar políticas de segurança

Finalmente, examinamos um estudo de caso de um cliente da Microsoft que implementou com sucesso o suporte à Rede Virtual para Power Platform melhorar a segurança e a conectividade, garantindo a conformidade com os requisitos regulamentares.

O suporte de Rede Virtual para o Power Platform é uma caraterística crucial que permite que as organizações melhorem a segurança da rede, otimizem a conectividade e garantam a conformidade com os requisitos regulamentares. As organizações que usam o suporte de Rede Virtual podem conectar Power Platform serviços com segurança a suas fontes de dados privadas, eliminando os riscos associados à exposição dessas fontes à Internet pública.

Conteúdos relacionados

• Descrição geral do suporte de Rede Virtual
• Configurar o suporte de Rede Virtual para o Power Platform
• O que é delegação de sub-rede?
• Compreender os Preços de Rede do Azure
• Solucionar problemas de Rede Virtual