Usar uma rede virtual para proteger o tráfego de entrada ou saída para o Gerenciamento de API do Azure

APLICA-SE A: Developer | Básico | Padrão | Padrão v2 | Prémio

Por padrão, seu Gerenciamento de API é acessado da Internet em um ponto de extremidade público e atua como um gateway para back-ends públicos. O Gerenciamento de API fornece várias opções para proteger o acesso à sua instância de Gerenciamento de API e às APIs de back-end usando uma rede virtual do Azure. As opções disponíveis dependem da camada de serviço da sua instância de Gerenciamento de API.

• Injeção da instância de Gerenciamento de API em uma sub-rede na rede virtual, permitindo que o gateway acesse recursos na rede.

  Pode escolher um dos dois modos de injeção: externo ou interno. Eles diferem se a conectividade de entrada para o gateway e outros pontos de extremidade de Gerenciamento de API é permitida a partir da Internet ou apenas de dentro da rede virtual.

• Integração de sua instância de Gerenciamento de API com uma sub-rede em uma rede virtual para que seu gateway de Gerenciamento de API possa fazer solicitações de saída para back-ends de API isolados na rede.

• Habilitando a conectividade de entrada segura e privada para o gateway de Gerenciamento de API usando um ponto de extremidade privado.

A tabela a seguir compara as opções de rede virtual. Para obter mais informações, consulte as seções posteriores deste artigo e links para orientações detalhadas.

Injeção de rede virtual

Com a injeção de VNet, implante ("inject") sua instância de Gerenciamento de API em uma sub-rede em uma rede não roteável pela Internet à qual você controla o acesso. Na rede virtual, sua instância de Gerenciamento de API pode acessar com segurança outros recursos do Azure em rede e também se conectar a redes locais usando várias tecnologias VPN. Para saber mais sobre as redes virtuais do Azure, comece com as informações na Visão geral da Rede Virtual do Azure.

Você pode usar o portal do Azure, a CLI do Azure, os modelos do Azure Resource Manager ou outras ferramentas para a configuração. Você controla o tráfego de entrada e saída na sub-rede na qual o Gerenciamento de API é implantado usando grupos de segurança de rede.

Para obter etapas detalhadas de implantação e configuração de rede, consulte:

• Implante sua instância de Gerenciamento de API em uma rede virtual - modo externo.
• Implante sua instância de Gerenciamento de API em uma rede virtual - modo interno.
• Requisitos de recursos de rede para injeção de gerenciamento de API em uma rede virtual.

Opções de acesso

Usando uma rede virtual, você pode configurar o portal do desenvolvedor, o gateway de API e outros pontos de extremidade de Gerenciamento de API para que sejam acessíveis pela Internet (modo externo) ou somente dentro da VNet (modo interno).

• Externo - Os pontos de extremidade de Gerenciamento de API são acessíveis a partir da Internet pública por meio de um balanceador de carga externo. O gateway pode acessar recursos dentro da rede virtual.

  

  Use o Gerenciamento de API no modo externo para acessar serviços de back-end implantados na rede virtual.

• Interno - Os pontos de extremidade do Gerenciamento de API são acessíveis somente de dentro da VNet por meio de um balanceador de carga interno. O gateway pode acessar recursos dentro da rede virtual.

  

  Use o Gerenciamento de API no modo interno para:

  • Torne as APIs hospedadas em seu datacenter privado acessíveis com segurança por terceiros usando conexões VPN do Azure ou a Rota Expressa do Azure.
  • Habilite cenários de nuvem híbrida expondo suas APIs baseadas em nuvem e APIs locais por meio de um gateway comum.
  • Gerencie suas APIs hospedadas em vários locais geográficos, usando um único ponto de extremidade de gateway.

Integração de saída

A camada Standard v2 oferece suporte à integração de VNet para permitir que sua instância de Gerenciamento de API alcance back-ends de API isolados em uma única VNet conectada. O gateway de Gerenciamento de API, o plano de gerenciamento e o portal do desenvolvedor permanecem acessíveis publicamente a partir da Internet.

A integração de saída permite que a instância de Gerenciamento de API alcance serviços de back-end públicos e isolados de rede.

Para obter mais informações, consulte Integrar uma instância de Gerenciamento de API do Azure com uma VNet privada para conexões de saída.

Ponto de extremidade privado de entrada

O Gerenciamento de API oferece suporte a pontos de extremidade privados para conexões de cliente de entrada seguras com sua instância de Gerenciamento de API. Cada conexão segura usa um endereço IP privado de sua rede virtual e do Azure Private Link.

Com um ponto final privado e o Private Link, pode:

• Criar várias ligações do Private Link a uma instância de Gestão de API.

• Utilizar o ponto final privado para enviar tráfego de entrada numa ligação segura.

• Utilizar políticas para distinguir o tráfego proveniente do ponto final privado.

• Limitar o tráfego de entrada apenas para pontos finais privados, o que impede transferências de dados não autorizadas.

Para obter mais informações, consulte Conectar-se de forma privada ao Gerenciamento de API usando um ponto de extremidade privado de entrada.

Configurações avançadas de rede

Pontos de extremidade de gerenciamento de API segura com um firewall de aplicativo Web

Você pode ter cenários em que precisa de acesso externo e interno seguro à sua instância de Gerenciamento de API e flexibilidade para alcançar back-ends privados e locais. Para esses cenários, você pode optar por gerenciar o acesso externo aos pontos de extremidade de uma instância de gerenciamento de API com um firewall de aplicativo Web (WAF).

Um exemplo é implantar uma instância de Gerenciamento de API em uma rede virtual interna e rotear o acesso público a ela usando um Gateway de Aplicativo do Azure voltado para a Internet:

Para obter mais informações, consulte Implantar o gerenciamento de API em uma rede virtual interna com o Application Gateway.

Próximos passos

Saiba mais sobre:

Configuração de rede virtual com Gerenciamento de API:

• Implante sua instância de Gerenciamento de API do Azure em uma rede virtual - modo externo.
• Implante sua instância de Gerenciamento de API do Azure em uma rede virtual - modo interno.
• Conecte-se de forma privada ao Gerenciamento de API usando um ponto de extremidade privado
• Integrar uma instância de Gerenciamento de API do Azure com uma VNet privada para conexões de saída
• Defender sua instância de Gerenciamento de API do Azure contra ataques DDoS

Artigos relacionados:

• Conectando uma rede virtual ao back-end usando o Vpn Gateway
• Conectando uma rede virtual a partir de diferentes modelos de implantação
• Perguntas frequentes sobre a rede virtual