Nasazení instance služby Azure API Management do virtuální sítě – interní režim

PLATÍ PRO: Vývojář | Prémie

Azure API Management je možné nasadit (vloženého) do virtuální sítě Azure pro přístup k back-endovým službám v síti. Informace o možnostech připojení k virtuální síti, požadavcích a důležitých informacích najdete tady:

• Použití virtuální sítě se službou Azure API Management
• Požadavky na síťové prostředky pro injektáž služby API Management do virtuální sítě

Tento článek vysvětluje, jak nastavit připojení virtuální sítě pro instanci služby API Management v interním režimu. V tomto režimu můžete přistupovat pouze k následujícím koncovým bodům služby API Management ve virtuální síti, jejichž přístup řídíte.

• Brána rozhraní API
• Portál pro vývojáře
• Přímá správa
• Git

Použití služby API Management v interním režimu k:

• Zajistěte, aby rozhraní API hostovaná ve vašem privátním datacentru byla zabezpečená přístupná třetími stranami mimo ni pomocí připojení Vpn Azure nebo Azure ExpressRoute.
• Povolte hybridní cloudové scénáře zveřejněním cloudových rozhraní API a místních rozhraní API prostřednictvím společné brány.
• Spravujte svá rozhraní API hostovaná v několika geografických umístěních pomocí jednoho koncového bodu brány.

Konfigurace specifické pro externí režim, kdy jsou koncové body služby API Management přístupné z veřejného internetu a back-endové služby se nacházejí v síti, najdete v tématu Nasazení instance služby Azure API Management do virtuální sítě – externí režim.

Požadavky

Než začnete, projděte si požadavky na síťové prostředky pro injektáž služby API Management do virtuální sítě.

Některé požadavky se liší v závislosti na verzi (stv2 nebo stv1) výpočetní platformy hostující instanci služby API Management.

Povolení připojení virtuální sítě

Povolení připojení virtuální sítě pomocí webu Azure Portal (stv2 platforma)

1. Přejděte na web Azure Portal a vyhledejte instanci služby API Management. Vyhledejte a vyberte služby API Management.

2. Zvolte instanci služby API Management.

3. Vyberte Síťová>virtuální síť.

4. Vyberte typ interního přístupu.

5. V seznamu umístění (oblastí), ve kterých je vaše služba API Management zřízená:

   1. Zvolte Umístění.
   2. Vyberte virtuální síť a podsíť.
      • Seznam virtuálních sítí se naplní virtuálními sítěmi Resource Manageru dostupnými ve vašich předplatných Azure a nastaví se v oblasti, kterou konfigurujete.

6. Vyberte Použít. Stránka virtuální sítě vaší instance služby API Management se aktualizuje o nové možnosti virtuální sítě a podsítě.

7. Pokračujte v konfiguraci nastavení virtuální sítě pro zbývající umístění vaší instance služby API Management.

8. V horním navigačním panelu vyberte Uložit.

   Aktualizace instance služby API Management může trvat 15 až 45 minut. Úroveň Developer má během procesu výpadek. U skladových položek Basic a vyšších během tohoto procesu k výpadku nedojde.

Po úspěšném nasazení by se v okně Přehled měla zobrazit privátní virtuální IP adresa služby API Management a veřejná virtuální IP adresa. Další informace o IP adresách najdete v části Směrování v tomto článku.

Povolení připojení pomocí šablony Resource Manageru (stv2 platforma)

• Šablona Azure Resource Manageru (rozhraní API verze 2021-08-01)

  

Povolení připojení pomocí rutin Azure PowerShellu (stv1 platforma)

Vytvořte nebo aktualizujte instanci služby API Management ve virtuální síti.

Konfigurace pravidel skupin zabezpečení sítě

Nakonfigurujte vlastní pravidla sítě v podsíti služby API Management tak, aby filtrovali provoz do a z vaší instance služby API Management. Pro zajištění správného provozu a přístupu k vaší instanci doporučujeme následující minimální pravidla NSG. Pečlivě zkontrolujte prostředí a zjistěte další pravidla, která by mohla být potřeba.

• Ve většině scénářů použijte k určení zdrojů a cílů sítě značky služeb místo IP adres služeb.
• Nastavte prioritu těchto pravidel vyšší než výchozí pravidla.

Konfigurace DNS

Pokud chcete povolit příchozí přístup ke koncovým bodům služby API Management v interním režimu virtuální sítě, musíte spravovat vlastní server DNS.

Naše doporučení:

1. Nakonfigurujte privátní zónu Azure DNS.
2. Propojte privátní zónu Azure DNS s virtuální sítí, do které jste nasadili službu API Management.

Zjistěte, jak nastavit privátní zónu v Azure DNS.

Přístup k výchozím názvům hostitelů

Při vytváření služby API Management (contosointernalvnetnapříklad) se ve výchozím nastavení konfigurují následující koncové body:

Přístup k vlastním názvům domén

Pokud nechcete získat přístup ke službě API Management s výchozími názvy hostitelů, nastavte vlastní názvy domén pro všechny koncové body, jak je znázorněno na následujícím obrázku:

Konfigurace záznamů DNS

Vytvořte na serveru DNS záznamy pro přístup ke koncovým bodům přístupným z vaší virtuální sítě. Namapujte záznamy koncových bodů na privátní virtuální IP adresu vaší služby.

Pro účely testování můžete aktualizovat soubor hostitelů na virtuálním počítači v podsíti připojené k virtuální síti, ve které je služba API Management nasazená. Za předpokladu, že privátní virtuální IP adresa pro vaši službu je 10.1.0.5, můžete soubor hostitelů mapovat následujícím způsobem. Soubor mapování hostitelů je v %SystemDrive%\drivers\etc\hosts systému (Windows) nebo /etc/hosts (Linux, macOS).

Pak můžete přistupovat ke všem koncovým bodům služby API Management z virtuálního počítače, který jste vytvořili.

Směrování

Následující virtuální IP adresy jsou nakonfigurované pro instanci služby API Management v interní virtuální síti.

Veřejné a privátní IP adresy s vyrovnáváním zatížení najdete v okně Přehled na webu Azure Portal.

Další informace a důležité informace najdete v tématu IP adresy služby Azure API Management.

VIP a IP adresy

Dynamické IP adresy (DIP) se přiřadí každému podkladovému virtuálnímu počítači ve službě a použijí se pro přístup ke koncovým bodům a prostředkům ve virtuální síti a v partnerských virtuálních sítích. Veřejná VIRTUÁLNÍ IP adresa služby API Management se použije pro přístup k veřejným prostředkům.

Pokud omezení PROTOKOLU IP uvádí zabezpečené prostředky v rámci virtuální sítě nebo partnerských virtuálních sítí, doporučujeme zadat celý rozsah podsítí, ve kterém je služba API Management nasazená, aby se udělil nebo omezil přístup ze služby.

Přečtěte si další informace o doporučené velikosti podsítě.

Příklad

Pokud nasadíte 1 jednotku kapacity služby API Management na úrovni Premium v interní virtuální síti, použijí se 3 IP adresy: 1 pro privátní virtuální IP adresu a jednu pro ip adresy pro dva virtuální počítače. Pokud škálujete kapacitu na 4 jednotky, budou se další IP adresy spotřebovávat pro další IP adresy z podsítě.

Pokud cílový koncový bod povolil pouze pevnou sadu zprostředkovatelů dostupnosti, selhání připojení způsobí, že v budoucnu přidáte nové jednotky. Z tohoto důvodu a vzhledem k tomu, že podsíť je plně ve vašem řízení, doporučujeme povolit výpis celé podsítě v back-endu.

Vynucení tunelového provozu do místní brány firewall pomocí ExpressRoute nebo síťového virtuálního zařízení

Vynucené tunelování umožňuje přesměrovat nebo "vynutit" veškerý internetový provoz z vaší podsítě zpět do místního prostředí pro účely kontroly a auditování. Běžně konfigurujete a definujete vlastní výchozí trasu (0.0.0.0/0), která vynutí veškerý provoz z podsítě služby API Management tak, aby procházel přes místní bránu firewall nebo do síťového virtuálního zařízení. Tento tok provozu přeruší připojení ke službě API Management, protože odchozí provoz je buď blokovaný místně, nebo překlad adres (NAT) na nerozpoznatelnou sadu adres, které už nefungují s různými koncovými body Azure. Tento problém můžete vyřešit následujícími metodami:

• Povolte koncové body služby v podsíti, ve které je služba API Management nasazená pro:

  • Azure SQL (vyžaduje se pouze v primární oblasti, pokud je služba API Management nasazená do více oblastí)
  • Azure Storage
  • Azure Event Hubs
  • Azure Key Vault (vyžaduje se při nasazení služby API Management na platformě stv2 )

  Povolením koncových bodů přímo z podsítě služby API Management do těchto služeb můžete použít páteřní síť Microsoft Azure a zajistit optimální směrování provozu služeb. Pokud používáte koncové body služby s vynuceným tunelovým tunelovým propojením služby API Management, provoz pro předchozí služby Azure se nevynutí tunelování. Ostatní přenosy závislostí služby API Management však zůstávají vynucené tunelové propojení. Ujistěte se, že vaše brána firewall nebo virtuální zařízení neblokují tento provoz nebo že služba API Management nemusí správně fungovat.

  Poznámka:

  Důrazně doporučujeme povolit koncové body služeb přímo z podsítě služby API Management do závislých služeb, jako jsou Azure SQL a Azure Storage, které je podporují. Některé organizace ale můžou mít požadavky na vynucení tunelového propojení veškerého provozu z podsítě služby API Management. V takovém případě se ujistěte, že nakonfigurujete bránu firewall nebo virtuální zařízení tak, aby umožňovalo tento provoz. Budete muset povolit úplný rozsah IP adres jednotlivých závislých služeb a zachovat tuto konfiguraci v aktualizovaném stavu při změně infrastruktury Azure. Vaše služba API Management může také zaznamenat latenci nebo neočekávané časové limity kvůli vynucení tunelování tohoto síťového provozu.

• Veškerý provoz řídicí roviny z internetu do koncového bodu správy vaší služby API Management se směruje přes konkrétní sadu příchozích IP adres hostovaných službou API Management, která zahrnuje značku služby ApiManagement. V případě vynuceného tunelování provozu se odpovědi nebudou symetricky mapovat zpět na tyto příchozí zdrojové IP adresy a dojde ke ztrátě připojení ke koncovému bodu pro správu. Pokud chcete toto omezení překonat, nakonfigurujte trasu definovanou uživatelem pro značku služby ApiManagement s typem dalšího segmentu směrování nastaveným na "Internet" pro směrování zpět do Azure.

  Poznámka:

  Povolení provozu služby API Management pro obejití místní brány firewall nebo síťového virtuálního zařízení se nepovažuje za významné bezpečnostní riziko. Doporučená konfigurace pro vaši podsíť služby API Management umožňuje příchozí provoz správy na portu 3443 pouze ze sady IP adres Azure, které zahrnuje značka služby ApiManagement. Doporučená konfigurace trasy definovaná uživatelem je určená pouze pro návratovou cestu tohoto provozu Azure.

• (Režim externí virtuální sítě) Provoz roviny dat pro klienty, kteří se pokoušejí připojit k bráně služby API Management a portálu pro vývojáře z internetu, se ve výchozím nastavení zahodí kvůli asymetrickým směrováním zavedeným vynuceným tunelováním. Pro každého klienta, který vyžaduje přístup, nakonfigurujte explicitní trasu definovanou uživatelem s typem dalšího segmentu směrování "Internet" tak, aby obešla bránu firewall nebo zařízení virtuální sítě.

• V případě jiných vynucených závislostí služby API Management přeložte název hostitele a spojte se s koncovým bodem. Tady jsou některé z nich:

  • Metriky a Monitorování stavu
  • Diagnostika webu Azure Portal
  • Přenos SMTP
  • Portál pro vývojáře CAPTCHA
  • Server Azure KMS

Další informace najdete v tématu Referenční informace o konfiguraci virtuální sítě.

Běžné problémy s konfigurací sítě

Tento oddíl se přesunul. Viz referenční informace o konfiguraci virtuální sítě.

Řešení problému

Neúspěšné počáteční nasazení služby API Management do podsítě

• Nasaďte virtuální počítač do stejné podsítě.
• Připojte se k virtuálnímu počítači a ověřte připojení k jednomu z následujících prostředků ve vašem předplatném Azure:
  • Objekt blob služby Azure Storage
  • Azure SQL Database
  • Tabulka služby Azure Storage
  • Azure Key Vault (pro instanci služby API Management hostované na platforměstv2)

Ověření stavu sítě

• Po nasazení služby API Management do podsítě pomocí portálu zkontrolujte připojení vaší instance k závislostem, jako je Azure Storage.

• Na portálu v nabídce vlevo v části Nasazení a infrastruktura vyberte Stav sítě>.

  

Pokud chcete pomoct s řešením potíží s připojením, vyberte:

• Metriky – kontrola metrik stavu připojení k síti

• Diagnostika – spuštění ověřovatele virtuální sítě v zadaném časovém období

Pokud chcete vyřešit problémy s připojením, zkontrolujte nastavení konfigurace sítě a opravte požadovaná nastavení sítě.

Přírůstkové aktualizace

Při provádění změn v síti se podívejte na rozhraní NETWORKStatus API a ověřte, že služba API Management neztratila přístup k důležitým prostředkům. Stav připojení by se měl aktualizovat každých 15 minut.

Pokud chcete použít změnu konfigurace sítě na instanci služby API Management pomocí portálu:

1. V nabídce vlevo pro vaši instanci v části Nasazení a infrastruktura vyberte Síťová>virtuální síť.
2. Vyberte Použít konfiguraci sítě.

Navigační odkazy na prostředky

Instance služby API Management hostovaná na stv1 výpočetní platformě při nasazení do podsítě virtuální sítě Resource Manageru rezervuje podsíť vytvořením navigačního propojení prostředků. Pokud podsíť již obsahuje prostředek od jiného poskytovatele, nasazení selže. Podobně když odstraníte službu API Management nebo ji přesunete do jiné podsítě, odebere se navigační odkaz prostředku.

Problémy, ke kterým došlo při opětovném přiřazení instance služby API Management k předchozí podsíti

• Zámek virtuální sítě – Při přesunu instance služby API Management zpět do původní podsítě nemusí být okamžité opětovné přiřazení možné kvůli uzamčení virtuální sítě, což trvá až jednu hodinu, než se odebere. Pokud má původní podsíť jiné stv1 služby API Management založené na platformě (cloudové služby), odstranění a čekání je nezbytné pro nasazení stv2 služby založené na platformě ve stejné podsíti.
• Zámek skupiny prostředků – Dalším scénářem, který je potřeba vzít v úvahu, je přítomnost zámku oboru na úrovni skupiny prostředků nebo vyšší, což brání procesu odstranění navigačního odkazu prostředku. Pokud chcete tento problém vyřešit, odeberte zámek oboru a počkejte přibližně 4 až 6 hodin, než služba API Management zruší propojení z původní podsítě před odebráním zámku, což umožní nasazení do požadované podsítě.

Řešení potíží s připojením k Microsoft Graphu z virtuální sítě

Připojení k síti k Microsoft Graphu je potřeba pro funkce, včetně přihlašování uživatelů k portálu pro vývojáře pomocí zprostředkovatele identity Microsoft Entra.

Řešení potíží s připojením k Microsoft Graphu z virtuální sítě:

• Ujistěte se, že je skupina zabezpečení sítě a další pravidla sítě nakonfigurovaná pro odchozí připojení z vaší instance služby API Management k Microsoft Graphu (pomocí značky služby AzureActiveDirectory ).

• Zajistěte překlad DNS a přístup k graph.microsoft.com síti z virtuální sítě. Například zřiďte nový virtuální počítač uvnitř virtuální sítě, připojte se k němu a zkuste se k němu připojit GET https://graph.microsoft.com/v1.0/$metadata z prohlížeče nebo pomocí cURL, PowerShellu nebo jiných nástrojů.

Další kroky

Přečtěte si další informace:

• Referenční informace ke konfiguraci virtuální sítě
• Nejčastější dotazy k virtuálním sítím
• Vytvoření záznamu v DNS