Создание рабочей области и управление ею в службе управления API Azure

ОБЛАСТЬ ПРИМЕНЕНИЯ: Базовая версия 2 | Стандартная версия 2 | Премиум | Премиум версия 2

Настройте рабочую область , чтобы команда API могли управлять и продуктизировать свои собственные API, предоставляя команде платформы API средства для наблюдения, управления и обслуживания платформы управления API. После создания рабочей области и назначения разрешений сотрудники рабочей области могут создавать и управлять собственными API, продуктами, подписками и связанными ресурсами.

Выполните действия, описанные в этой статье, чтобы:

• Создайте рабочую область управления API, связанную с управляемым шлюзом экземпляра по умолчанию или связанной с новым или существующим шлюзом рабочей области.
• При необходимости изолируйте шлюз рабочей области в виртуальной сети Azure.
• Назначьте разрешения для рабочей области.

Prerequisites

• Экземпляр управления API. При необходимости создайте его на поддерживаемом уровне.
• Роль владельца или участника в группе ресурсов, в которой развернут экземпляр службы управления API, или эквивалентные разрешения на создание ресурсов в группе ресурсов.
• (Необязательно) Подсеть в новой или существующей виртуальной сети Azure для изоляции входящего и исходящего трафика шлюза рабочей области. Сведения о параметрах и требованиях к конфигурации см. в разделе "Требования к сетевым ресурсам" для шлюзов рабочих областей.
• (Необязательно, чтобы связать управляемый шлюз по умолчанию с рабочей областью) REST-клиент для вызова REST API API Management.

Создание рабочей области и связывание управляемого шлюза по умолчанию — REST API

Вы можете создать рабочую область, которая направляет трафик API через управляемый шлюз службы по умолчанию вместо шлюза рабочей области. Этот параметр позволяет избежать дополнительных затрат и сложности отдельного ресурса шлюза. Трафик API направляется через имя узла по умолчанию службы (например, <service-name>.azure-api.net).

Используйте рабочую область — создание или обновление REST API для создания рабочей области.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ApiManagement/service/{serviceName}/workspaces/{workspaceId}?api-version=2024-05-01
Authorization: Bearer {token}
Content-Type: application/json

{
  "properties": {
    "displayName": "my workspace",
    "description": "Workspace using default managed gateway",
    "serveOn": "workspaceAndDefault"
  }
}

Замените:

• {subscriptionId} с идентификатором вашей подписки Azure
• {resourceGroupName} с именем группы ресурсов, в которой находится экземпляр API Management
• {serviceName} с именем экземпляра службы управления API
• {workspaceId} с уникальным идентификатором рабочей области (буквенно-цифровые, дефисы разрешены)

Успешный ответ возвращает код HTTP 201 Created и ресурс рабочей области. По умолчанию рабочая область направляет трафик API через имя узла по умолчанию службы.

После создания рабочей области перейдите к назначению пользователей рабочей области — портал для настройки разрешений доступа.

Создать рабочую область и связать шлюз рабочей области — портал

1. Войдите на портал Azure и перейдите к своему экземпляру службы Управления API.

2. В меню слева в разделе API выберите "Рабочие области>+ Добавить".

3. На вкладке "Основные сведения" введите описательное отображаемое имя, имя ресурса и необязательное описание рабочей области. Нажмите кнопку Далее.

4. На вкладке "Шлюз" настройте параметры для шлюза рабочей области.

   

   • Выберите "Создать" , чтобы создать новый шлюз рабочей области, или выберите "Использовать существующий " для связывания рабочей области с существующим шлюзом с другими рабочими областями, развернутыми на нем.

   • Если вы решили создать шлюз, выполните следующие действия.

     • В сведениях о шлюзе введите новое имя шлюза и выберите число единиц масштабирования. Затраты на шлюз основаны на количестве единиц. Дополнительные сведения см. в разделе "Цены на управление API".

     • В сети выберите конфигурацию сети для шлюза рабочей области.

       Important

       Тщательно спланируйте конфигурацию сети рабочей области. После создания рабочей области нельзя изменить конфигурацию сети.

     • Если выбрать общедоступный доступ для входящего трафика, исходящий частный доступ (интеграция виртуальной сети) или входящий частный доступ, исходящий частный доступ (внедрение виртуальной сети), выберите виртуальную сеть и подсеть для изоляции шлюза рабочей области или создайте новый. Требования к сети см. в разделе "Требования к сетевым ресурсам" для шлюзов рабочих областей.

5. Нажмите кнопку Далее. После завершения проверки нажмите кнопку "Создать".

   Note

   Создание нового шлюза для рабочей области, если эта опция выбрана, может занять до нескольких часов. Чтобы отслеживать ход выполнения развертывания на портале Azure, перейдите в группу ресурсов шлюза. В меню слева в разделе "Параметры" выберите "Развертывания".

После завершения развертывания новая рабочая область появится в списке на странице "Рабочие области ". Выберите рабочую область для управления параметрами и ресурсами.

Назначение пользователей рабочей области на портале

После создания рабочей области назначьте пользователям разрешения на управление ресурсами рабочей области. Каждому пользователю рабочей области необходимо назначить как роль RBAC рабочей области с областью действия на уровне службы, так и роль RBAC с областью действия в пределах рабочей области, либо предоставить эквивалентные разрешения с помощью пользовательских ролей.

Если рабочая область использует ресурс шлюза рабочей области, также назначьте пользователям рабочей области роль RBAC, предоставляемую Azure, с областью действия в рамках шлюза рабочей области.

• Список встроенных ролей рабочей области см. в статье "Использование управления доступом на основе ролей" в службе "Управление API".
• Инструкции по назначению роли см. в статье "Назначение ролей Azure" с помощью портала.

Назначьте роль с областью действия в рамках службы

1. Войдите на портал Azure и перейдите к своему экземпляру службы Управления API.

2. В меню слева выберите элемент Управления доступом (IAM)>+ Добавить.

3. Назначьте каждому участнику рабочей области одну из следующих ролей уровня службы:

   • Разработчик API в рабочей области службы управления API
   • API Management Service Workspace API Product Manager

Назначение роли с областью действия рабочей области

1. В меню для экземпляра управления API в разделе API выберите "Рабочие области> " имя созданной рабочей области.

2. В окне рабочей области выберите Элемент управления доступом (IAM)>+ Добавить.

3. Назначьте участникам рабочей области одну из следующих ролей уровня рабочей области, чтобы они могли управлять API рабочей области и другими ресурсами:

   • Читатель рабочей области управления API
   • Участник рабочей области управления API
   • Разработчик API в пространстве управления API
   • API Management Workspace API Product Manager

Назначьте роль на уровне шлюза

1. Войдите на портал Azure и перейдите к своему экземпляру службы Управления API.

2. В меню слева в разделе API выберите "Рабочие области> " имя рабочей области.

3. В меню слева рабочей области выберите шлюзы и выберите шлюз рабочей области.

4. В меню слева выберите элемент Управления доступом (IAM)>+ Добавить.

5. Назначьте одну из следующих ролей каждому члену рабочей области. Как минимум, назначьте роль читателя для просмотра параметров шлюза. Владельцы и участники могут управлять параметрами шлюза, включая масштабирование шлюза.

   • Owner
   • Contributor
   • Reader

Включение параметров диагностики для API рабочей области мониторинга

Настройте параметры для сбора журналов Azure Monitor для рабочей области и их отправки в рабочую область Log Analytics. Команда рабочей области может отслеживать собственные API, а команда платформы API может получить доступ к централизованным журналам для экземпляра управления API. Рассмотрим схему ниже.

Чтобы собирать журналы Azure Monitor для рабочей области, вам нужны параметры диагностики на уровне службы и рабочей области:

1. Сначала включите параметр диагностики на уровне службы для сбора журналов шлюза управления API, если параметр еще не включен. Отправьте журналы в рабочую область Log Analytics. Дополнительные сведения см. в разделе "Настройка параметров диагностики для управления API".

2. Затем включите параметр диагностики на уровне workspace для отправки журналов шлюза управления API в ту же рабочую область Log Analytics. Этот параметр собирает журналы для всех шлюзов, связанных с рабочей областью.

   Important

   Параметр диагностики на уровне службы настраивает логирование в экземпляре управления API, включая рабочие области, в которых включены параметры диагностики на уровне рабочей области. Если вы не включите параметр диагностики на уровне рабочей области, журналы шлюза рабочей области не собираются или агрегируются в Log Analytics.

   Note

   По умолчанию члены команды рабочей области, назначенные встроенным ролям RBAC рабочей области, не имеют прав на изменение параметров диагностики в рабочей области. Команда платформы API имеет эти разрешения.

Чтобы настроить параметр диагностики рабочей области для сбора журналов шлюза на уровне рабочей области, выполните следующие действия.

1. Войдите на портал Azure и перейдите к своему экземпляру службы Управления API.

2. В меню слева в разделе API выберите "Рабочие области> " имя рабочей области.

3. В меню слева рабочих областей в разделе "Мониторинг" выберите "Параметры>диагностики" и "Добавить параметр диагностики".

4. В параметре диагностики введите или выберите сведения для параметра:

   1. Имя параметра диагностики: введите описательное имя.
   2. Группы категорий. При необходимости сделайте выбор для вашего сценария.
   3. В разделе Категории выберите Журналы, связанные со шлюзом ApiManagement, чтобы собирать журналы шлюза для API в этой рабочей области.
   4. В разделе "Сведения о назначении" выберите для отправки журналов в ту же рабочую область Azure Log Analytics, указанную в параметре диагностики уровня обслуживания и в других параметрах диагностики на уровне рабочей области.
   5. Нажмите кнопку "Сохранить".

Начало работы с рабочей областью

В зависимости от их роли в рабочей области пользователи могут иметь разрешения на создание API, продуктов, подписок и других ресурсов, или у них может быть доступ только для чтения к некоторым или всем этим ресурсам.

Чтобы приступить к управлению, защите и публикации API в рабочей области, ознакомьтесь со следующими рекомендациями.

Связанный контент

• Узнайте больше о рабочих пространствах в службе управления API Azure.
• Использование виртуальной сети для защиты входящего или исходящего трафика для управления API Azure