Azure Container Apps ortamında ağ iletişimi

Azure Container Apps, kendi sanal ağı (VNet) ile bir ortam bağlamında çalışır.

Varsayılan olarak, Container App ortamınız sizin için otomatik olarak üretilmiş bir sanal ağ ile oluşturulur. Ağınız üzerinde ayrıntılı denetim için, ortam oluştururken var olan bir sanal ağı belirtebilirsiniz. Üretilen veya var olan bir sanal ağ ile ortam oluşturduktan sonra ağ türü değiştirilemez.

Oluşturulan sanal ağlar aşağıdaki özellikleri alır.

Bunlar:

• Microsoft kiracısında oluşturulurken size erişilemez
• İnternet üzerinden genel olarak erişilebilir
• yalnızca İnternet'in erişebildiği uç noktalara ulaşabiliyor

Ayrıca, yalnızca giriş IP kısıtlamaları ve kapsayıcı uygulaması düzeyinde giriş denetimleri gibi ağ özelliklerinin sınırlı bir alt kümesini destekler.

Aşağıdakiler gibi daha fazla Azure ağ özelliğine ihtiyacınız varsa mevcut bir sanal ağı kullanın:

• Application Gateway ile tümleştirme
• Ağ Güvenlik Grupları
• Sanal ağınızdaki özel uç noktaların arkasındaki kaynaklarla iletişim

Kullanılabilir sanal ağ özellikleri, ortam seçiminize bağlıdır.

Ortam seçimi

Container Apps'in iki farklı ortam türü vardır ve bazı önemli farklarla aynı ağ özelliklerinin birçoğu paylaşılmıştır.

Erişilebilirlik düzeyleri

Kapsayıcı uygulamanızın yalnızca ortam düzeyinde sanal ağınızın içinden genel girişe veya girişe izin verip vermeyeceğini yapılandırabilirsiniz.

Özel sanal ağ yapılandırması

Özel bir sanal ağ oluştururken aşağıdaki durumları göz önünde bulundurun:

• Kapsayıcı uygulamanızın tüm dış erişimi kısıtlamasını istiyorsanız, bir iç Container Apps ortamı oluşturun.

• Kendi sanal ağınızı kullanıyorsanız, dağıttığınız Container App ortamına özel olarak ayrılmış bir alt ağ sağlamanız gerekir. Bu alt ağ diğer hizmetler tarafından kullanılamaz.

• Ağ adresleri, ortam oluşturulurken tanımladığınız bir alt ağ aralığından atanır.

  • Container Apps ortamı tarafından kullanılan alt ağ aralığını tanımlayabilirsiniz.

  • Ortamı iç olarak dağıtarak gelen istekleri yalnızca sanal ağ ile kısıtlayabilirsiniz.

Kapsayıcı uygulamanızın etrafındaki ağı tasarlamaya başladığınızda Sanal ağları planlama bölümüne bakın.

HTTP kenar ara sunucusu davranışı

Azure Container Apps, Envoy proxy'sini uç HTTP proxy'si olarak kullanır. Aktarım Katmanı Güvenliği (TLS) uçta sonlandırılır ve istekler trafik bölme kurallarına göre yönlendirilir ve trafiği doğru uygulamaya yönlendirir.

HTTP uygulamaları, HTTP isteklerinin ve bağlantılarının sayısına göre ölçeklendirilir. Envoy, iç trafiği kümeler içinde yönlendirir.

Aşağı akış bağlantıları HTTP1.1 ve HTTP2'yi destekler ve istemci bağlantısı yükseltme gerektiriyorsa, Envoy bağlantıları otomatik olarak algılar ve yükselter.

Yukarı akış bağlantıları, giriş nesnesinde transport özelliği ayarlanarak tanımlanır.

Giriş yapılandırması

Giriş bölümünde aşağıdaki ayarları yapılandırabilirsiniz:

• Erişilebilirlik düzeyi: Kapsayıcı uygulamanızı ortamda dışarıdan veya dahili olarak erişilebilir olarak ayarlayabilirsiniz. Ortam değişkeni CONTAINER_APP_ENV_DNS_SUFFIX , ortamınız için tam etki alanı adı (FQDN) sonekini otomatik olarak çözümlemek için kullanılır. Aynı ortamdaki kapsayıcı uygulamaları arasında iletişim kurarken uygulama adını da kullanabilirsiniz. Uygulamalarınıza erişme hakkında daha fazla bilgi için bkz . Azure Container Apps'te giriş.

• Trafik bölme kuralları: Uygulamanızın farklı düzeltmeleri arasında trafik bölme kuralları tanımlayabilirsiniz. Daha fazla bilgi için bkz . Trafik bölme.

Farklı ağ senaryoları hakkında daha fazla bilgi için bkz . Azure Container Apps'te giriş.

Portal bağımlılıkları

Azure Container Apps'teki her uygulama için iki URL vardır.

Container Apps çalışma zamanı başlangıçta uygulamanıza erişmek için kullanılan tam etki alanı adını (FQDN) oluşturur. Kapsayıcı uygulamanızın FQDN'si için Azure portalındaki kapsayıcı uygulamanızın Genel Bakış penceresindeki Uygulama Url'sine bakın.

Sizin için ikinci bir URL de oluşturulur. Bu konum, günlük akış hizmetine ve konsola erişim verir. Gerekirse, güvenlik duvarınızın veya ara sunucunuzun izin verilenler listesine eklemeniz https://azurecontainerapps.dev/ gerekebilir.

Bağlantı noktaları ve IP adresleri

Gelen bağlantılar için aşağıdaki bağlantı noktaları kullanıma sunulur.

IP adresleri aşağıdaki türlere ayrılmıştır:

Alt ağ

Sanal ağ tümleştirmesi ayrılmış bir alt ağa bağlıdır. IP adreslerinin bir alt ağda nasıl ayrıldığı ve hangi alt ağ boyutlarının desteklendiği, Azure Container Apps'te hangi planı kullandığınıza bağlıdır.

Alt ağ boyutunuzu dikkatle seçin. Container Apps ortamı oluşturduktan sonra alt ağ boyutları değiştirilemez.

Farklı ortam türlerinin farklı alt ağ gereksinimleri vardır:

Alt ağ adres aralığı kısıtlamaları

CLI ile alt ağ yapılandırması

Container Apps ortamı oluşturulduğunda, tek bir alt ağ için kaynak kimlikleri sağlarsınız.

CLI kullanıyorsanız, alt ağ kaynak kimliğini tanımlama parametresidir infrastructure-subnet-resource-id. Alt ağ, altyapı bileşenlerini ve kullanıcı uygulaması kapsayıcılarını barındırır.

Azure CLI'yi yalnızca Tüketim ortamıyla kullanıyorsanız ve platformReservedCidr aralığı tanımlanmışsa, alt ağ içinde platformReservedCidrtanımlanan IP aralığıyla çakışmamalıdır.

Rotalar

Kullanıcı tanımlı yollar (UDR)

Kullanıcı Tanımlı Yollar (UDR) ve NAT Ağ Geçidi üzerinden denetlenen çıkış, iş yükü profilleri ortamında desteklenir. Yalnızca Tüketim ortamında bu özellikler desteklenmez.

• Container App'ınızdan giden trafiği Azure Güvenlik Duvarı veya diğer ağ gereçleri aracılığıyla kısıtlamak için UDR'yi iş yükü profilleri ortamlarıyla birlikte kullanabilirsiniz.

• UDR yapılandırması, Container Apps ortam kapsamının dışında yapılır.

Azure, oluşturduğunuzda sanal ağlarınız için varsayılan bir yol tablosu oluşturur. Kullanıcı tanımlı bir yol tablosu uygulayarak trafiğin sanal ağınızda nasıl yönlendirilmiş olduğunu denetleyebilirsiniz. Örneğin, tüm trafiği güvenlik duvarına yönlendiren bir UDR oluşturabilirsiniz.

UDR'yi Azure Güvenlik Duvarı ile yapılandırma

Kullanıcı tanımlı yollar yalnızca iş yükü profilleri ortamında desteklenir. Aşağıdaki uygulama ve ağ kuralları, kullandığınız kaynaklara bağlı olarak güvenlik duvarınızın izin verilenler listesine eklenmelidir.

Uygulama kuralları

Uygulama kuralları, uygulama katmanına göre trafiğe izin verir veya trafiği reddeder. Senaryoya göre aşağıdaki giden güvenlik duvarı uygulama kuralları gereklidir.

Ağ kuralları

Ağ kuralları, ağ ve aktarım katmanına göre trafiğe izin verir veya trafiği reddeder. Senaryoya göre aşağıdaki giden güvenlik duvarı ağ kuralları gereklidir.

NAT ağ geçidi tümleştirmesi

Nat Gateway'i kullanarak bir iş yükü profilleri ortamında sanal ağınızdaki giden İnternet trafiğiniz için giden bağlantıyı basitleştirebilirsiniz.

Alt ağınızda bir NAT Ağ Geçidi yapılandırdığınızda, NAT Ağ Geçidi ortamınız için statik bir genel IP adresi sağlar. Kapsayıcı uygulamanızdan gelen tüm giden trafik NAT Gateway'in statik genel IP adresi üzerinden yönlendirilir.

Ortam güvenliği

Aşağıdaki eylemleri gerçekleştirerek giriş ve çıkış ağ trafiği iş yükü profilleri ortamınızın güvenliğini tam olarak sağlayabilirsiniz:

• bir iş yükü profilleri ortamında iç kapsayıcı uygulaması ortamınızı oluşturun. Adımlar için bkz . Azure CLI ile iş yükü profillerini yönetme.

• Container Apps'inizi bir Application Gateway ile tümleştirin.

• UDR'yi tüm trafiği Azure Güvenlik Duvarı üzerinden yönlendirecek şekilde yapılandırın.

Azure Container Apps ortamında eşler arası şifreleme

Azure Container Apps, ortamda eşler arası TLS şifrelemesini destekler. Bu özelliğin etkinleştirilmesi, ortamdaki tüm ağ trafiğini Azure Container Apps ortam kapsamında geçerli olan bir özel sertifikayla şifreler. Bu sertifikalar Azure Container Apps tarafından otomatik olarak yönetilir.

Aşağıdaki örnekte eşler arası şifrelemenin etkinleştirildiği bir ortam gösterilmektedir.

¹ Gelen TLS trafiği, ortamın kenarındaki giriş proxy'sinde sonlandırılır.

² Ortam içindeki giriş ara sunucusuna gelen ve gelen trafik, TLS özel bir sertifikayla şifrelenir ve alıcı tarafından şifresi çözülür.

³ A uygulamasından B uygulamasının FQDN'sine yapılan çağrılar önce uç giriş ara sunucusuna gönderilir ve TLS şifrelenir.

⁴ B uygulamasının uygulama adı kullanılarak A uygulamasından B uygulamasına yapılan çağrılar doğrudan B uygulamasına gönderilir ve TLS şifrelenir.

Container Apps ortamındaki uygulamaların kimliği otomatik olarak doğrulanır. Ancak Container Apps çalışma zamanı, yerleşik eşler arası şifrelemeyi kullanarak uygulamalar arasında erişim denetimi için yetkilendirmeyi desteklemez.

Uygulamalarınız ortamın dışındaki bir istemciyle iletişim kurarken mTLS ile iki yönlü kimlik doğrulaması desteklenir. Daha fazla bilgi edinmek için bkz . İstemci sertifikalarını yapılandırma.

az containerapp env create \
    --name <environment-name> \
    --resource-group <resource-group> \
    --location <location> \
    --enable-peer-to-peer-encryption

az containerapp env update \
    --name <environment-name> \
    --resource-group <resource-group> \
    --enable-peer-to-peer-encryption

{
  ...
  "properties": {
       "peerTrafficConfiguration":{
            "encryption": {
                "enabled": "true|false"
            }
        }
  ...
}

DNS

• Özel DNS: Sanal ağınız varsayılan Azure tarafından sağlanan DNS sunucusu yerine özel bir DNS sunucusu kullanıyorsa, DNS sunucunuzu çözümlenmemiş DNS sorgularını adresine iletecek 168.63.129.16şekilde yapılandırın. Azure özyinelemeli çözümleyiciler istekleri çözümlemek için bu IP adresini kullanır. NSG'nizi veya güvenlik duvarınızı yapılandırırken adresi engellemeyin 168.63.129.16 , aksi takdirde Container Apps ortamınız düzgün çalışmaz.

• Sanal ağ kapsamı girişi: İç ortamda sanal ağ kapsamı girişi kullanmayı planlıyorsanız, etki alanlarınızı aşağıdaki yollardan biriyle yapılandırın:

  1. Özel olmayan etki alanları: Özel etki alanı kullanmayı planlamıyorsanız, Container Apps ortamının varsayılan etki alanını Container Apps ortamının statik IP adresine çözümleyen özel bir DNS bölgesi oluşturun. Azure Özel DNS veya kendi DNS sunucunuzu kullanabilirsiniz. Azure Özel DNS kullanıyorsanız, bir kayıtla Container App ortamının varsayılan etki alanı ()<UNIQUE_IDENTIFIER>.<REGION_NAME>.azurecontainerapps.io olarak adlandırılan özel bir A DNS Bölgesi oluşturun. Kayıt, A Container Apps ortamının adını *<DNS Suffix> ve statik IP adresini içerir.

  2. Özel etki alanları: Özel etki alanları kullanmayı planlıyorsanız ve bir dış Container Apps ortamı kullanıyorsanız, kapsayıcı uygulamasına özel bir etki alanı ve sertifika eklemek için genel olarak çözümlenebilir bir etki alanı kullanın. İç Container Apps ortamı kullanıyorsanız kümeye yalnızca sanal ağ içinden erişilebildiği için DNS bağlamasına yönelik bir doğrulama yoktur. Ayrıca, Apex etki alanını Container Apps ortamının statik IP adresine çözümleyen özel bir DNS bölgesi oluşturun. Azure Özel DNS veya kendi DNS sunucunuzu kullanabilirsiniz. Azure Özel DNS kullanıyorsanız, Container Apps ortamının statik IP adresine işaret eden bir kayıtla apex etki alanı olarak adlandırılan bir A Özel DNS Bölgesi oluşturun.

Container Apps ortamının statik IP adresi, Azure portalında kapsayıcı uygulaması sayfasının Özel DNS son ekinde veya Azure CLI az containerapp env list komutu kullanılarak kullanılabilir.

Yönetilen kaynaklar

Kendi ağınıza bir iç veya dış ortam dağıttığınızda, ortamınızın barındırıldığı Azure aboneliğinde yeni bir kaynak grubu oluşturulur. Bu kaynak grubu Azure Container Apps platformu tarafından yönetilen altyapı bileşenlerini içerir. Bu gruptaki hizmetleri veya kaynak grubunun kendisini değiştirmeyin.

İş yükü profilleri ortamı

Ortamınızın barındırıldığı Azure aboneliğinde oluşturulan kaynak grubunun adı varsayılan olarak önektir ME_ ve kapsayıcı uygulama ortamınızı oluştururken kaynak grubu adı özelleştirilebilir.

Dış ortamlar için kaynak grubu, dış ortamınıza gelen bağlantı ve yük dengeleyici için özel olarak kullanılan bir genel IP adresi içerir. İç ortamlar için kaynak grubu yalnızca bir Load Balancer içerir.

Standart Azure Container Apps faturalamasına ek olarak aşağıdakiler için faturalandırılırsınız:

• İç veya dış ortam kullanıyorsanız çıkış için bir standart statik genel IP ve dış ortam kullanıyorsanız giriş için bir standart statik genel IP . SNAT sorunları nedeniyle çıkış için daha fazla genel IP'ye ihtiyacınız varsa, geçersiz kılma istemek için bir destek bileti açın.

• Bir standart yük dengeleyici.

• İşlenen verilerin maliyeti (GB'lerde), yönetim işlemleri için hem giriş hem de çıkış içerir.

Yalnızca tüketim ortamı

Ortamınızın barındırıldığı Azure aboneliğinde oluşturulan kaynak grubunun adı varsayılan olarak ön eke MC_ sahiptir ve kapsayıcı uygulaması oluşturduğunuzda kaynak grubu adı özelleştirilemiyor . Kaynak grubu, ortamınızdan giden bağlantı ve yük dengeleyici için özel olarak kullanılan genel IP adreslerini içerir.

Standart Azure Container Apps faturalamasına ek olarak aşağıdakiler için faturalandırılırsınız:

• Çıkış için bir standart statik genel IP . Kaynak Ağ Adresi Çevirisi (SNAT) sorunlarından dolayı çıkış için daha fazla IP'ye ihtiyacınız varsa, geçersiz kılma isteğinde bulunmak için bir destek bileti açın.

• İç ortam kullanıyorsanız iki standart yük dengeleyici veya dış ortam kullanıyorsanız bir standart yük dengeleyici . Her yük dengeleyicinin altıdan az kuralı vardır. İşlenen verilerin maliyeti (GB'lerde), yönetim işlemleri için hem giriş hem de çıkış içerir.

Sonraki adımlar

• Dış ortamla dağıtma
• İç ortamla dağıtma