Использование виртуальной сети для защиты входящего или исходящего трафика для Azure Управление API

По умолчанию экземпляр API Management доступен из Интернета через общедоступную конечную точку и служит шлюзом для общедоступных серверных служб. API Management предоставляет несколько способов использования виртуальной сети Azure для защиты доступа к экземпляру API Management и серверным API. Доступные параметры зависят от уровня служб экземпляра службы управления API. Выберите возможности сети для удовлетворения потребностей вашей организации.

В следующей таблице сравниваются параметры виртуальной сети на разных уровнях служб. Дополнительные сведения см. в последующих разделах этой статьи и в подробных инструкциях, на которые приведены ссылки. Параметры сети, относящиеся к рабочим областям управления API, см. в статье "Использование виртуальной сети для защиты входящего или исходящего трафика для рабочих областей управления API".

Сетевая модель	Поддерживаемые уровни	Поддерживаемые компоненты	Поддерживаемый трафик	Сценарий использования
Внедрение виртуальных сетей (классические уровни) — внешние	Разработчик, Премиум	Портал разработчика, шлюз, плоскость управления и репозиторий Git	Входящий и исходящий трафик можно разрешить для Интернета, пиринговых виртуальных сетей, ExpressRoute и VPN-подключений типа "сеть — сеть" (S2S).	Внешний доступ к частным и локальным серверным службам
Внедрение виртуальных сетей (классические уровни) — внутренние	Разработчик, Премиум	Портал разработчика, шлюз, плоскость управления и репозиторий Git	Входящий и исходящий трафик может быть разрешен для пиринговых виртуальных сетей, ExpressRoute и подключений S2S VPN.	Внутренний доступ к частным и локальным серверным службам
Внедрение виртуальной сети (уровень "Премиум" версии 2)	Премиум v2	Только шлюз	Входящий и исходящий трафик может быть разрешён к делегированной подсети виртуальной сети, виртуальным сетям, связанным через пиринг, подключениям ExpressRoute и S2S VPN.	Внутренний доступ к частным и локальным серверным службам
Интеграция виртуальной сети (уровни версии 2)	Стандарт версии 2, Премиум версии 2	Только шлюз	Исходящий трафик запроса может обращаться к API, размещенным в делегированной подсети одной подключенной виртуальной сети.	Внешний доступ к частным и локальным серверным службам
Входящая частная конечная точка	Разработчик, Базовый, Стандартный, Стандартный версии 2, Премиум, Премиум версии 2	Только шлюз (управляемый шлюз поддерживается, автономный шлюз не поддерживается)	Можно разрешить только входящий трафик из Интернета, виртуальных сетей, связанных пирингом, ExpressRoute и VPN-подключений типа S2S.	Безопасное подключение клиента к шлюзу Управления API

Внедрение виртуальной сети (классические уровни)

На классических уровнях "Разработчик" и "Премиум" службы "Управление API" разверните ("внедрите") экземпляр службы "Управление API" в подсети сети, не маршрутизируемой через Интернет, доступ к которой вы контролируете. В виртуальной сети ваш экземпляр API Management может безопасно получать доступ к другим сетевым ресурсам Azure, а также подключаться к локальным сетям организации с помощью различных технологий VPN.

Для настройки можно использовать портал Azure, Azure CLI, шаблоны Azure Resource Manager или другие инструменты. Вы управляете входящим и исходящим трафиком в подсети, в которой развертывается управление API с помощью групп безопасности сети.

Подробные инструкции по развертыванию и конфигурации сети см. в статье:

Параметры доступа

С помощью виртуальной сети можно настроить портал разработчика, шлюз API и другие Управление API конечные точки, доступные из Интернета (внешнего режима) или только в виртуальной сети (внутренний режим).

Внешние конечные точки управления API доступны из общедоступного Интернета через внешнюю подсистему балансировки нагрузки. Шлюз может обращаться к ресурсам в виртуальной сети.

Используйте службу Управление API во внешнем режиме для доступа к серверным службам, развернутым в виртуальной сети.
Внутренние конечные точки управления API доступны только из виртуальной сети через внутреннюю подсистему балансировки нагрузки. Шлюз может обращаться к ресурсам в виртуальной сети.

Используйте Управление API во внутреннем режиме, чтобы:
- предоставлять третьим лицам защищенный доступ к API, размещенным в частном центре обработки данных, с помощью VPN-подключений Azure или Azure ExpressRoute;
- Реализуйте сценарии гибридного облака, публикуя облачные API и локальные API через единый шлюз.
- управлять API-интерфейсами, размещенными в разных географических расположениях, через одну общую конечную точку шлюза.

Внедрение виртуальной сети (уровень "Премиум" версии 2)

На уровне Premium v2 службы API Management разместите экземпляр в делегированной подсети виртуальной сети, чтобы защитить входящий и исходящий трафик шлюза. В настоящее время можно настроить параметры внедрения виртуальной сети во время создания экземпляра.

В этой конфигурации:

Конечная точка шлюза Управление API доступна через виртуальную сеть по частному IP-адресу.
Управление API может отправлять исходящие запросы к серверным службам API, изолированным в сети или любой пиринговой сети, если сетевое подключение настроено правильно.

Эта конфигурация рекомендуется использовать для сценариев, в которых необходимо изолировать как экземпляр Управление API, так и внутренние API. Инъекция в виртуальную сеть на уровне Premium v2 автоматически обеспечивает сетевое подключение к большинству зависимостей служб для Azure API Management.

Схема внедрения экземпляра управления API в виртуальной сети для изоляции входящего и исходящего трафика.

Дополнительные сведения см. в статье "Внедрение экземпляра Premium версии 2" в виртуальную сеть.

Интеграция виртуальной сети (уровни версии 2)

Уровни "Стандартный" версии 2 и "Премиум" поддерживают интеграцию исходящей виртуальной сети, чтобы разрешить экземпляру службы управления API подключаться к серверным службам API, изолированным в одной подключенной виртуальной сети или любой одноранговой виртуальной сети, если сетевое подключение настроено правильно. Шлюз API Management, плоскость управления и портал разработчика по-прежнему остаются доступными из Интернета.

Исходящая интеграция позволяет экземпляру API Management получать доступ как к общедоступным, так и к изолированным на уровне сети внутренним службам.

Схема интеграции экземпляра управления API с делегированной подсетью.

Дополнительные сведения см. в статье "Интеграция экземпляра службы "Управление API Azure" с частной виртуальной сетью для исходящих подключений.

Входная закрытая конечная точка

Управление API поддерживает частные конечные точки для безопасных входящих подключений клиентов к экземпляру службы управления API. Каждое безопасное подключение использует частный IP-адрес из виртуальной сети и Приватный канал Azure.

С помощью частной конечной точки и Приватного канала вы можете выполнять следующие действия:

Создание нескольких подключений Приватный канал к экземпляру API Management.
Используйте частную конечную точку, чтобы направлять входящий трафик по защищенному подключению.
Используйте политику, чтобы разграничивать трафик, поступающий через частную конечную точку.
Ограничить входящий трафик частными конечными точками, предотвращая кражу данных.
Объедините входящие частные конечные точки с экземплярами Standard версии 2 с интеграцией исходящих виртуальных сетей для обеспечения сквозной сетевой изоляции ваших клиентов и внутренних служб управления API.

Внимание

Вы можете настроить подключение частной конечной точки только для входящего трафика к экземпляру API Management.
Можно отключить общедоступный сетевой доступ к экземпляру службы управления API только после настройки частной конечной точки.

Для получения дополнительной информации см. Как подключиться к управлению API через входящую частную конечную точку.

Расширенные конфигурации сети

Защита конечных точек Управления API с помощью брандмауэра веб-приложения

В некоторых сценариях может потребоваться как безопасный внешний, так и внутренний доступ к экземпляру API Management, а также возможность доступа к частным и локальным бэкендам. В этих сценариях можно управлять внешним доступом к конечным точкам экземпляра Управления API с помощью брандмауэра веб-приложения (WAF).

Одним из примеров является развертывание экземпляра Управления API во внутренней виртуальной сети и маршрутизация общего доступа к нему с помощью Шлюза приложений Azure, доступного через Интернет:

Дополнительные сведения см. в статье "Развертывание управления API в внутренней виртуальной сети с помощью шлюза приложений".

Дополнительные сведения о конфигурации виртуальной сети с помощью Управление API:

Чтобы узнать больше о виртуальных сетях Azure, начните с сведений в обзоре виртуальной сети Azure.

Обратная связь

Были ли сведения на этой странице полезными?

Last updated on 2026-06-03