Внедрение экземпляра Azure Управление API в частной виртуальной сети — уровень "Премиум" версии 2

ПРИМЕНЯЕТСЯ К: Премиум v2

В этой статье описаны требования к внедрению экземпляра Azure API Management Premium версии 2 в виртуальной сети.

При внедрении экземпляра Управление API Premium версии 2 в виртуальную сеть:

• Конечная точка шлюза Управление API доступна через виртуальную сеть по частному IP-адресу.
• Управление API может отправлять исходящие запросы к серверным службам API, изолированным в сети или любой пиринговой сети, если сетевое подключение настроено правильно.

Эта конфигурация рекомендуется использовать для сценариев, в которых необходимо изолировать сетевой трафик как для экземпляра Управление API, так и для внутренних API.

Если вы хотите включить общедоступный входящий доступ к экземпляру службы "Управление API" на уровне "Стандартный" версии 2 или "Премиум", но ограничить исходящий доступ к изолированным от сети серверным службам, см. статью "Интеграция с виртуальной сетью для исходящих подключений".

Предварительные условия

• Экземпляр API Management Azure в тарифном плане Premium v2.
• Виртуальная сеть, в которой размещаются ваши клиентские приложения и серверные API вашего управления API. См. следующие разделы для получения информации о требованиях и рекомендациях по виртуальной сети и подсети, используемых для экземпляра API Management.

Сетевое расположение

• Виртуальная сеть должна находиться в том же регионе и в той же подписке Azure, что и экземпляр API Management.

Выделенная подсеть

• Подсеть, используемая для внедрения виртуальной сети, должна использоваться только единственным инстансом API Management. Его нельзя предоставить другому ресурсу Azure.

Размер подсети

• Минимум: /27 (32 адреса)
• Рекомендуется: /24 (256 адресов) - для обеспечения масштабируемости экземпляра управления API.

Примеры

В следующей таблице показаны примеры изменения размера подсети для внедрения виртуальной сети управления API, иллюстрирующая, как различные блоки CIDR влияют на количество единиц масштабирования.

^* Ограничение уровня "Премиум" версии 2

Ключевые моменты

• Минимальный размер подсети: /27 (предоставляет 24 доступных IP-адреса для управления API)
• Зарезервированные IP-адреса Azure: 5 адресов для каждой подсети (первый и последний для соответствия протоколам, а также 3 для служб Azure)
• Требование горизонтального масштабирования: Для каждой единицы масштабирования требуется 2 IP-адреса
• Внутренняя подсистема балансировки нагрузки: требуется только при развертывании управления API в режиме внутренней виртуальной сети
• Ограничение Premium V2: в настоящее время поддерживает до 30 единиц.

группу безопасности сети;

Группа безопасности сети (NSG) должна быть связана с подсетью. Сведения о настройке группы безопасности сети см. в статье "Создание группы безопасности сети".

• Настройте правила в следующей таблице, чтобы разрешить исходящий доступ к службе хранилища Azure и Azure Key Vault, которые являются зависимостями для управления API.
• Настройте другие правила исходящего трафика, необходимые шлюзу для доступа к серверным службам API.
• Настройте другие правила NSG для удовлетворения требований к сетевому доступу вашей организации. Например, правила NSG также можно использовать для блокировки исходящего трафика в Интернет и разрешения доступа только к ресурсам в виртуальной сети.

Делегирование подсети

Подсеть необходимо делегировать службе Microsoft.Web/hostingEnvironments .

Дополнительные сведения о настройке делегирования подсети см. в разделе "Добавление или удаление делегирования подсети".

Разрешения

Для настройки внедрения виртуальной сети необходимо иметь по крайней мере следующие разрешения на управление доступом на основе ролей в подсети или на более высоком уровне:

Внедрить управление API в виртуальной сети

При создании экземпляра premium версии 2 с помощью портала Azure можно дополнительно настроить параметры внедрения виртуальной сети.

1. В мастере создания службы управления API выберите вкладку "Сеть ".
2. В типе подключения выберите виртуальную сеть.
3. В поле "Тип" выберите внедрение виртуальной сети.
4. В разделе "Настройка виртуальных сетей" выберите виртуальную сеть и делегированную подсеть, которую требуется внедрить.
5. Завершите работу мастера, чтобы создать экземпляр управления API.

Параметры DNS для доступа к частному IP-адресу

Когда экземпляр управления API премиум-класса версии 2 внедряется в виртуальную сеть, необходимо управлять собственным DNS для обеспечения входящего доступа к управлению API.

Хотя у вас есть возможность использовать частный или пользовательский DNS-сервер, рекомендуется:

1. Настройка частной зоны Azure DNS.
2. Связывание частной зоны Azure DNS с виртуальной сетью.

Узнайте, как настроить частную зону в Azure DNS.

Доступ к конечной точке по имени узла по умолчанию

При создании экземпляра службы управления API в тарифе Premium версии 2 следующему конечному узлу назначается имя узла по умолчанию:

• Шлюз — пример: contoso-apim.azure-api.net

Настройка записи DNS

Создайте запись A на вашем DNS-сервере, чтобы получить доступ к экземпляру управления API из вашей виртуальной сети. Сопоставьте запись конечной точки с частным виртуальным IP-адресом экземпляра службы управления API.

Для тестирования можно обновить файл hosts на виртуальной машине в подсети, подключенной к виртуальной сети, в которой развернута служба управления API. Если для экземпляра API Management используется частный виртуальный IP-адрес 10.1.0.5, можно сопоставить файл hosts, как показано в следующем примере. Файл сопоставления узлов находится в %SystemDrive%\drivers\etc\hosts (Windows) или /etc/hosts (Linux, macOS). Например:

Связанный контент

• Использование виртуальной сети с помощью службы "Управление API Azure"
• Настройка имени личного домена для экземпляра службы "Управление API Azure"