Conecte-se de forma privada ao Gerenciamento de API usando um ponto de extremidade privado de entrada
APLICA-SE A: Developer | Básico | Padrão | Padrão v2 | Prémio
Você pode configurar um ponto de extremidade privado de entrada para sua instância de Gerenciamento de API para permitir que os clientes em sua rede privada acessem com segurança a instância pelo Azure Private Link.
Nota
O suporte a pontos finais privados na camada Standard v2 está atualmente em visualização limitada. Para se inscrever, preencha este formulário.
O ponto de extremidade privado usa um endereço IP de uma rede virtual do Azure na qual está hospedado.
O tráfego de rede entre um cliente em sua rede privada e o Gerenciamento de API atravessa a rede virtual e um Link Privado na rede de backbone da Microsoft, eliminando a exposição da Internet pública.
Configure as definições personalizadas do DNS ou uma zona privada do DNS do Azure para mapear o nome do anfitrião Gestão de API ao endereço IP privado do ponto final.
Com um ponto final privado e o Private Link, pode:
Criar várias ligações do Private Link a uma instância de Gestão de API.
Utilizar o ponto final privado para enviar tráfego de entrada numa ligação segura.
Utilizar políticas para distinguir o tráfego proveniente do ponto final privado.
Limitar o tráfego de entrada apenas para pontos finais privados, o que impede transferências de dados não autorizadas.
Combine pontos de extremidade privados de entrada para instâncias padrão v2 com integração de rede virtual de saída para fornecer isolamento de rede de ponta a ponta de seus clientes de gerenciamento de API e serviços de back-end.
Importante
- Você só pode configurar uma conexão de ponto de extremidade privada para o tráfego de entrada para a instância de Gerenciamento de API.
Limitações
- Somente o ponto de extremidade Gateway da instância de Gerenciamento de API oferece suporte a conexões de Link Privado de entrada.
- Cada instância de Gerenciamento de API suporta no máximo 100 conexões de Link Privado.
- Não há suporte para conexões no gateway auto-hospedado ou em um gateway de espaço de trabalho.
- Nas camadas clássicas de Gerenciamento de API, os pontos de extremidade privados não são suportados em instâncias injetadas em uma rede virtual interna ou externa.
Pré-requisitos
- Uma instância de gerenciamento de API existente. Crie um, caso ainda não o tenha feito.
- Ao usar uma instância na camada clássica Developer ou Premium, não implante (injete) a instância em uma rede virtual externa ou interna .
- Uma rede virtual que contém uma sub-rede para hospedar o ponto de extremidade privado. A sub-rede pode conter outros recursos do Azure.
- (Recomendado) Uma máquina virtual na mesma sub-rede ou em uma sub-rede diferente na rede virtual, para testar o ponto de extremidade privado.
Use o ambiente Bash no Azure Cloud Shell. Para obter mais informações, consulte Guia de início rápido para Bash no Azure Cloud Shell.
Se preferir executar comandos de referência da CLI localmente, instale a CLI do Azure. Se estiver a utilizar o Windows ou macOS, considere executar a CLI do Azure num contentor Docker. Para obter mais informações, consulte Como executar a CLI do Azure em um contêiner do Docker.
Se estiver a utilizar uma instalação local, inicie sessão no CLI do Azure ao utilizar o comando az login. Para concluir o processo de autenticação, siga os passos apresentados no seu terminal. Para outras opções de entrada, consulte Entrar com a CLI do Azure.
Quando solicitado, instale a extensão da CLI do Azure na primeira utilização. Para obter mais informações sobre as extensões, veja Utilizar extensões com o CLI do Azure.
Execute o comando az version para localizar a versão e as bibliotecas dependentes instaladas. Para atualizar para a versão mais recente, execute o comando az upgrade.
Método de aprovação para ponto final privado
Normalmente, um administrador de rede cria um ponto de extremidade privado. Dependendo de suas permissões RBAC (controle de acesso baseado em função) do Azure, um ponto de extremidade privado criado é aprovado automaticamente para enviar tráfego para a instância de Gerenciamento de API ou exige que o proprietário do recurso aprove manualmente a conexão.
| Método de homologação | Permissões mínimas de RBAC |
|---|---|
| Automático | Microsoft.Network/virtualNetworks/**Microsoft.Network/virtualNetworks/subnets/**Microsoft.Network/privateEndpoints/**Microsoft.Network/networkinterfaces/**Microsoft.Network/locations/availablePrivateEndpointTypes/readMicrosoft.ApiManagement/service/**Microsoft.ApiManagement/service/privateEndpointConnections/** |
| Manual | Microsoft.Network/virtualNetworks/**Microsoft.Network/virtualNetworks/subnets/**Microsoft.Network/privateEndpoints/**Microsoft.Network/networkinterfaces/**Microsoft.Network/locations/availablePrivateEndpointTypes/read |
Etapas para configurar o ponto de extremidade privado
- Obter tipos de pontos finais privados disponíveis na subscrição
- Desativar políticas de rede na sub-rede
- Criar ponto final privado - portal
Obter tipos de pontos finais privados disponíveis na subscrição
Verifique se o tipo de ponto de extremidade privado do Gerenciamento de API está disponível em sua assinatura e local. No portal, encontre essas informações acessando o Private Link Center. Selecione Recursos suportados.
Você também pode encontrar essas informações usando a API REST de Tipos de Ponto Final Privados Disponíveis - Listagem .
GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Network/locations/{region}/availablePrivateEndpointTypes?api-version=2021-03-01
A saída deve incluir o tipo de Microsoft.ApiManagement.service ponto final:
[...]
"name": "Microsoft.ApiManagement.service",
"id": "/subscriptions/{subscriptionId}/providers/Microsoft.Network/AvailablePrivateEndpointTypes/Microsoft.ApiManagement.service",
"type": "Microsoft.Network/AvailablePrivateEndpointTypes",
"resourceName": "Microsoft.ApiManagement/service",
"displayName": "Microsoft.ApiManagement/service",
"apiVersion": "2021-04-01-preview"
}
[...]
Desativar políticas de rede na sub-rede
As diretivas de rede, como grupos de segurança de rede, devem ser desabilitadas na sub-rede usada para o ponto de extremidade privado.
Se você usar ferramentas como o Azure PowerShell, a CLI do Azure ou a API REST para configurar pontos de extremidade privados, atualize a configuração da sub-rede manualmente. Para obter exemplos, consulte Gerenciar políticas de rede para pontos de extremidade privados.
Quando você usa o portal do Azure para criar um ponto de extremidade privado, conforme mostrado na próxima seção, as políticas de rede são desabilitadas automaticamente como parte do processo de criação.
Criar ponto final privado - portal
Você pode criar um ponto de extremidade privado para sua instância de Gerenciamento de API no portal do Azure.
Nas camadas clássicas de Gerenciamento de API, você pode criar um ponto de extremidade privado ao criar a instância. Em uma instância existente, use a folha Rede da instância no portal do Azure.
Navegue até o serviço de Gerenciamento de API no portal do Azure.
No menu à esquerda, em Implantação + infraestrutura, selecione Rede.
Selecione Conexões> de ponto de extremidade privado de entrada+ Adicionar ponto de extremidade.
Na guia Noções básicas de Criar um ponto de extremidade privado, insira ou selecione as seguintes informações:
Definição Value Detalhes do projeto Subscrição Selecione a sua subscrição. Grupo de recursos Selecione um grupo de recursos existente ou crie um novo. Deve estar na mesma região da sua rede virtual. Detalhes da instância Nome Insira um nome para o ponto de extremidade, como myPrivateEndpoint. Nome da interface de rede Insira um nome para a interface de rede, como myInterface País/Região Selecione um local para o ponto de extremidade privado. Deve estar na mesma região da sua rede virtual. Ele pode ser diferente da região onde sua instância de Gerenciamento de API está hospedada. Selecione o botão Next: Resource na parte inferior da tela. As seguintes informações sobre sua instância de Gerenciamento de API já estão preenchidas:
- Subscrição
- Tipo de recurso
- Nome do recurso
Em Recurso, em Subrecurso de destino, selecione Gateway.
Importante
Somente o subrecurso Gateway é suportado para Gerenciamento de API. Não há suporte para outros subrecursos.
Selecione o botão Next: Virtual Network na parte inferior da tela.
Em Rede Virtual, insira ou selecione estas informações:
Definição Value Rede virtual Selecione sua rede virtual. Sub-rede Selecione sua sub-rede. Configuração de IP privado Na maioria dos casos, selecione Alocar endereço IP dinamicamente. Grupo de segurança de aplicações Opcionalmente, selecione um grupo de segurança do aplicativo. Selecione o botão Next: DNS na parte inferior da tela.
Em Integração de DNS privado, insira ou selecione estas informações:
Definição Value Integrar com zona DNS privada Deixe o padrão de Sim. Subscrição Selecione a sua subscrição. Grupo de recursos Selecione o seu grupo de recursos. Zonas DNS Privadas O valor padrão é exibido: (novo) privatelink.azure-api.net. Selecione o botão Next: Tabs na parte inferior da tela. Se desejar, insira tags para organizar seus recursos do Azure.
Selecione o botão Next: Review + create na parte inferior da tela. Selecione Criar.
Listar conexões de ponto de extremidade privado para a instância
Depois que o ponto de extremidade privado é criado e o serviço atualizado, ele aparece na lista na página Conexões de ponto de extremidade privado de entrada da instância de Gerenciamento de API no portal.
Observe o status da conexão do ponto de extremidade:
- Aprovado indica que o recurso de Gerenciamento de API aprovou automaticamente a conexão.
- Pendente indica que a conexão deve ser aprovada manualmente pelo proprietário do recurso.
Aprovar conexões de ponto de extremidade privadas pendentes
Se uma conexão de ponto de extremidade privada estiver em status pendente, um proprietário da instância de Gerenciamento de API deverá aprová-la manualmente antes que ela possa ser usada.
Se você tiver permissões suficientes, aprove uma conexão de ponto de extremidade privada na página Conexões de ponto de extremidade privado da instância de Gerenciamento de API no portal. No menu de contexto da conexão (...), selecione Aprovar.
Você também pode usar a API Management Private Endpoint Connection - Create Or Update REST API para aprovar conexões de endpoint privadas pendentes.
Opcionalmente, desative o acesso à rede pública
Opcionalmente, para limitar o tráfego de entrada para a instância de Gerenciamento de API apenas para pontos de extremidade privados, desative a propriedade de acesso à rede pública.
Nota
O acesso à rede pública só pode ser desabilitado em instâncias de Gerenciamento de API configuradas com um ponto de extremidade privado, não com outras configurações de rede.
Para desabilitar a propriedade de acesso à rede pública usando a CLI do Azure, execute o seguinte comando az apim update , substituindo os nomes da instância de Gerenciamento de API e do grupo de recursos:
az apim update --name my-apim-service --resource-group my-resource-group --public-network-access false
Você também pode usar o API Management Service - Update REST API para desabilitar o acesso à rede pública, definindo a publicNetworkAccess propriedade como Disabled.
Validar conexão de ponto de extremidade privado
Após a criação do ponto final privado, confirme as definições de DNS no portal:
Navegue até o serviço de Gerenciamento de API no portal do Azure.
No menu à esquerda, em Implantação + infraestrutura, selecione Conexões de ponto de extremidade privado de entrada de rede>e selecione o ponto de extremidade privado que você criou.
Na navegação à esquerda, em Configurações, selecione Configuração de DNS.
Reveja os registos de DNS e o endereço IP do ponto final privado. O endereço IP é um endereço privado no espaço de endereços da sub-rede onde o ponto final privado é configurado.
Teste em rede virtual
Estabeleça ligação a uma máquina virtual configurada na rede virtual.
Execute um utilitário como nslookup ou dig para procurar o endereço IP do seu ponto de extremidade padrão do Gateway através do Private Link. Por exemplo:
nslookup my-apim-service.privatelink.azure-api.net
A saída deve incluir o endereço IP privado associado ao ponto final privado.
As chamadas de API iniciadas na rede virtual para o ponto de extremidade padrão do Gateway devem ser bem-sucedidas.
Teste da internet
Fora do caminho do ponto final privado, tente chamar o ponto final de Gateway predefinido da instância de Gestão de API. Se o acesso público estiver desativado, a saída incluirá um erro com o código de 403 status e uma mensagem semelhante a:
Request originated from client public IP address 192.0.2.12, public network access on this 'Microsoft.ApiManagement/service/my-apim-service' is disabled.
To connect to 'Microsoft.ApiManagement/service/my-apim-service', please use the Private Endpoint from inside your virtual network.
Conteúdos relacionados
- Use expressões de política com a
context.requestvariável para identificar o tráfego do ponto de extremidade privado. - Saiba mais sobre endpoints privados e Private Link, incluindo preços de Private Link.
- Gerencie conexões de ponto de extremidade privadas.
- Solucione problemas de conectividade de ponto de extremidade privado do Azure.
- Use um modelo do Gerenciador de Recursos para criar uma instância clássica de Gerenciamento de API e um ponto de extremidade privado com integração DNS privada.
- Conecte o Azure Front Door Premium a um Gerenciamento de API do Azure com Private Link (Visualização).