Sdílet prostřednictvím

Privátní připojení ke službě API Management pomocí příchozího privátního koncového bodu

  • Článek

PLATÍ PRO: Vývojář | Základní | Standardní | Standard v2 | Prémie

Příchozí privátní koncový bod pro instanci služby API Management můžete nakonfigurovat tak, aby klienti ve vaší privátní síti mohli bezpečně přistupovat k instanci přes Azure Private Link.

Poznámka:

Podpora privátních koncových bodů na úrovni Standard v2 je aktuálně ve verzi Limited Preview. Pokud se chcete zaregistrovat, vyplňte tento formulář.

  • Privátní koncový bod používá IP adresu z virtuální sítě Azure, ve které je hostovaná.

  • Síťový provoz mezi klientem ve vaší privátní síti a službou API Management prochází přes virtuální síť a službou Private Link v páteřní síti Microsoftu, čímž se eliminuje vystavení z veřejného internetu.

  • Nakonfigurujte si vlastní nastavení DNS nebo privátní zónu Azure DNS pro mapování názvu hostitele služby API Management na privátní IP adresu koncového bodu.

Diagram znázorňující zabezpečené příchozí připojení ke službě API Management pomocí privátního koncového bodu

S privátním koncovým bodem a službou Private Link můžete:

  • Vytvořit více připojení Private Link k instanci služby API Management.

  • Používat privátní koncový bod k odesílání příchozích přenosů v zabezpečeném připojení.

  • Pomocí zásad odlišovat přenosy, které pochází z privátního koncového bodu.

  • Omezit příchozí přenosy pouze na privátní koncové body, abyste zabránili exfiltraci dat.

  • Zkombinujte příchozí privátní koncové body s instancemi Standard v2 s integrací odchozí virtuální sítě, abyste zajistili kompletní izolaci sítě klientů služby API Management a back-endových služeb.

    Diagram znázorňující zabezpečené příchozí připojení ke službě API Management Standard v2 pomocí privátního koncového bodu

Důležité

  • Připojení privátního koncového bodu můžete nakonfigurovat jenom pro příchozí provoz do instance služby API Management.

Omezení

  • Pouze koncový bod brány instance služby API Management podporuje příchozí připojení Private Link.
  • Každá instance služby API Management podporuje maximálně 100 připojení Private Link.
  • Připojení nejsou podporována v bráně v místním prostředí ani v bráně pracovního prostoru.
  • V klasických úrovních služby API Management se privátní koncové body nepodporují v instancích vložených do interní nebo externí virtuální sítě.

Požadavky

  • Existující instance služby API Management. Vytvořte ho, pokud jste to ještě neudělali.
    • Pokud používáte instanci v klasické úrovni Developer nebo Premium, nenasazujte ji (vložte) do externí nebo interní virtuální sítě.
  • Virtuální síť obsahující podsíť pro hostování privátního koncového bodu. Podsíť může obsahovat další prostředky Azure.
  • (Doporučeno) Virtuální počítač ve stejné nebo jiné podsíti ve virtuální síti k otestování privátního koncového bodu.

Metoda schválení privátního koncového bodu

Správce sítě obvykle vytvoří privátní koncový bod. V závislosti na oprávněních řízení přístupu na základě role v Azure (RBAC) se privátní koncový bod, který vytvoříte, buď automaticky schválí odesílání provozu do instance služby API Management, nebo vyžaduje, aby vlastník prostředku připojení schválil ručně .

Metoda schválení Minimální oprávnění RBAC
Automatic (Automaticky) Microsoft.Network/virtualNetworks/**
Microsoft.Network/virtualNetworks/subnets/**
Microsoft.Network/privateEndpoints/**
Microsoft.Network/networkinterfaces/**
Microsoft.Network/locations/availablePrivateEndpointTypes/read
Microsoft.ApiManagement/service/**
Microsoft.ApiManagement/service/privateEndpointConnections/**
Ruční Microsoft.Network/virtualNetworks/**
Microsoft.Network/virtualNetworks/subnets/**
Microsoft.Network/privateEndpoints/**
Microsoft.Network/networkinterfaces/**
Microsoft.Network/locations/availablePrivateEndpointTypes/read

Postup konfigurace privátního koncového bodu

  1. Získání dostupných typů privátních koncových bodů v předplatném
  2. Zakázání zásad sítě v podsíti
  3. Vytvoření privátního koncového bodu – portál

Získání dostupných typů privátních koncových bodů v předplatném

Ověřte, že je typ privátního koncového bodu služby API Management dostupný ve vašem předplatném a umístění. Na portálu najdete tyto informace tak, že přejdete do Centra služby Private Link. Vyberte Podporované prostředky.

Tyto informace najdete také pomocí dostupných typů privátních koncových bodů – výpis rozhraní REST API.

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Network/locations/{region}/availablePrivateEndpointTypes?api-version=2021-03-01

Výstup by měl zahrnovat typ koncového Microsoft.ApiManagement.service bodu:

[...]

      "name": "Microsoft.ApiManagement.service",
      "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Network/AvailablePrivateEndpointTypes/Microsoft.ApiManagement.service",
      "type": "Microsoft.Network/AvailablePrivateEndpointTypes",
      "resourceName": "Microsoft.ApiManagement/service",
      "displayName": "Microsoft.ApiManagement/service",
      "apiVersion": "2021-04-01-preview"
    }
[...]

Zakázání zásad sítě v podsíti

Zásady sítě, jako jsou skupiny zabezpečení sítě, musí být v podsíti používané pro privátní koncový bod zakázané.

Pokud ke konfiguraci privátních koncových bodů používáte nástroje, jako je Azure PowerShell, Azure CLI nebo REST API, aktualizujte konfiguraci podsítě ručně. Příklady najdete v tématu Správa zásad sítě pro privátní koncové body.

Když k vytvoření privátního koncového bodu použijete Azure Portal, jak je znázorněno v další části, zásady sítě se v rámci procesu vytváření automaticky deaktivují.

Vytvoření privátního koncového bodu – portál

Privátní koncový bod pro instanci služby API Management můžete vytvořit na webu Azure Portal.

V klasických úrovních SLUŽBY API Management můžete při vytváření instance vytvořit privátní koncový bod. V existující instanci použijte okno Síť instance na webu Azure Portal.

  1. Na webu Azure Portal přejděte ke službě API Management.

  2. V nabídce vlevo v části Nasazení + infrastruktura vyberte Síť.

  3. Vyberte Příchozí připojení> privátního koncového bodu + Přidat koncový bod.

    Snímek obrazovky znázorňující, jak přidat privátní koncový bod pomocí webu Azure Portal

  4. Na kartě Základy vytvoření privátního koncového bodu zadejte nebo vyberte následující informace:

    Nastavení Hodnota
    Podrobnosti projektu
    Předplatné Vyberte své předplatné.
    Skupina prostředků Vyberte existující skupinu prostředků nebo vytvořte novou. Musí být ve stejné oblasti jako vaše virtuální síť.
    Podrobnosti o instanci
    Název Zadejte název koncového bodu, například myPrivateEndpoint.
    Název síťového rozhraní Zadejte název síťového rozhraní, například myInterface.
    Oblast Vyberte umístění privátního koncového bodu. Musí být ve stejné oblasti jako vaše virtuální síť. Může se lišit od oblasti, ve které je vaše instance služby API Management hostovaná.

  5. Vyberte tlačítko Další: Prostředek v dolní části obrazovky. Následující informace o vaší instanci služby API Management jsou už vyplněné:

    • Předplatné
    • Typ prostředku
    • Název prostředku

  6. V prostředku v podnabídce Cíl vyberte Bránu.

    Snímek obrazovky znázorňující nastavení pro vytvoření privátního koncového bodu na webu Azure Portal

    Důležité

    Pro službu API Management se podporuje jenom podnabídka brány. Jiné dílčí prostředky nejsou podporované.

  7. Vyberte tlačítko Další: Virtuální síť v dolní části obrazovky.

  8. Ve virtuální síti zadejte nebo vyberte tyto informace:

    Nastavení Hodnota
    Virtuální síť Vyberte svou virtuální síť.
    Podsíť Vyberte podsíť.
    Konfigurace privátní IP adresy Ve většině případů vyberte Dynamicky přidělovat IP adresu.
    Skupina zabezpečení aplikace Volitelně vyberte skupinu zabezpečení aplikace.

  9. Vyberte tlačítko Další: DNS v dolní části obrazovky.

  10. V Privátní DNS integraci zadejte nebo vyberte tyto informace:

    Nastavení Hodnota
    Integrovat s privátní zónou DNS Ponechte výchozí hodnotu Ano.
    Předplatné Vyberte své předplatné.
    Skupina prostředků Vyberte skupinu prostředků.
    Privátní zóny DNS Zobrazí se výchozí hodnota: (nový) privatelink.azure-api.net.

  11. Vyberte tlačítko Další: Karty v dolní části obrazovky. Pokud chcete, zadejte značky pro uspořádání prostředků Azure.

  12. Vyberte tlačítko Další: Zkontrolovat a vytvořit v dolní části obrazovky. Vyberte Vytvořit.

Výpis připojení privátního koncového bodu k instanci

Po vytvoření a aktualizaci privátního koncového bodu se služba zobrazí v seznamu na stránce připojení příchozího privátního koncového bodu instance služby API Management na portálu.

Poznamenejte si stav připojení koncového bodu:

  • Schváleno označuje, že prostředek služby API Management připojení automaticky schválil.
  • Čeká se na vyřízení, že připojení musí být ručně schváleno vlastníkem prostředku.

Schválení nevyřízených připojení privátních koncových bodů

Pokud je připojení privátního koncového bodu ve stavu čekání, musí ho vlastník instance služby API Management před použitím schválit ručně.

Pokud máte dostatečná oprávnění, na stránce připojení privátního koncového bodu instance SLUŽBY API Management na portálu schvalte připojení privátního koncového bodu. V místní nabídce připojení (...) vyberte Schválit.

Můžete také použít připojení privátního koncového bodu služby API Management – Vytvoření nebo aktualizace rozhraní REST API ke schválení nevyřízených připojení privátních koncových bodů.

Volitelně zakažte přístup k veřejné síti.

Pokud chcete volitelně omezit příchozí provoz do instance služby API Management jenom na privátní koncové body, zakažte vlastnost přístupu k veřejné síti.

Poznámka:

Přístup k veřejné síti je možné zakázat jenom v instancích služby API Management nakonfigurovaných s privátním koncovým bodem, ne s jinými konfiguracemi sítí.

Pokud chcete zakázat vlastnost přístupu k veřejné síti pomocí Azure CLI, spusťte následující příkaz az apim update a nahraďte názvy vaší instance služby API Management a skupiny prostředků:

az apim update --name my-apim-service --resource-group my-resource-group --public-network-access false

Službu API Management – Aktualizace rozhraní REST API můžete použít také k zakázání přístupu k veřejné síti nastavením publicNetworkAccess vlastnosti na Disabledhodnotu .

Ověření připojení privátního koncového bodu

Po vytvoření privátního koncového bodu potvrďte na portálu jeho nastavení DNS:

  1. Na webu Azure Portal přejděte ke službě API Management.

  2. V nabídce vlevo v části Nasazení a infrastruktura vyberte >připojení privátního koncového bodu příchozích síťových přenosů a vyberte privátní koncový bod, který jste vytvořili.

  3. V levém navigačním panelu v části Nastavení vyberte konfiguraci DNS.

  4. Zkontrolujte záznamy DNS a IP adresu privátního koncového bodu. IP adresa je privátní adresa v adresním prostoru podsítě, ve které je privátní koncový bod nakonfigurován.

Testování ve virtuální síti

Připojte se k virtuálnímu počítači, který jste nastavili ve virtuální síti.

Spusťte nástroj, například nslookup nebo dig vyhledejte IP adresu výchozího koncového bodu brány přes Private Link. Příklad:

nslookup my-apim-service.privatelink.azure-api.net

Výstup by měl obsahovat privátní IP adresu přidruženou k privátnímu koncovému bodu.

Volání rozhraní API iniciovaná ve virtuální síti do výchozího koncového bodu brány by měla být úspěšná.

Testování z internetu

Mimo cestu privátního koncového bodu se pokuste volat výchozí koncový bod brány instance služby API Management. Pokud je veřejný přístup zakázaný, výstup obsahuje chybu se stavovým kódem 403 a zprávu podobnou této:

Request originated from client public IP address 192.0.2.12, public network access on this 'Microsoft.ApiManagement/service/my-apim-service' is disabled.
       
To connect to 'Microsoft.ApiManagement/service/my-apim-service', please use the Private Endpoint from inside your virtual network.

Související obsah