你当前正在访问 Microsoft Azure Global Edition 技术文档网站。 如果需要访问由世纪互联运营的 Microsoft Azure 中国技术文档网站，请访问 https://docs.azure.cn。
为 Azure 逻辑应用安装本地数据网关
适用范围：Azure 逻辑应用（消耗型 + 标准型）
某些方案要求工作流连接到本地数据源，并且只能使用通过本地数据网关提供此访问权限的连接器。 若要设置此本地数据网关，必须完成以下任务：安装本地本地数据网关，并在 Azure 中为本地数据网关创建本地数据网关资源。 从需要数据网关的连接器向工作流添加触发器或操作时，可以选择要用于连接的数据网关资源。 数据网关安装的工作原理是一个桥，用于在本地数据源和工作流之间提供快速数据传输和加密。
在消耗逻辑应用工作流中，只能使用通过 本地数据网关提供访问权限的连接器连接到本地数据源。 在标准逻辑应用工作流中，可以直接访问 Azure 虚拟网络中的本地资源，或使用 不需要数据网关访问本地数据源的内置服务提供商连接器 。 而你要提供用于验证身份并授权对数据源的访问的信息。 但是，如果内置服务提供商连接器不适用于数据源，但托管连接器可用，则必须使用本地数据网关。
本指南介绍如何下载、安装和设置本地本地数据网关，以便稍后可以在Azure 门户中创建数据网关资源。 也可以在本文稍后的数据网关的工作原理中了解更多信息。 有关网关的详细信息，请参阅什么是本地网关？ 若要自动执行网关安装和管理任务，请参阅 PowerShell 库中的数据网关 PowerShell cmdlet。
可对其他云服务（例如 Power Automate、Power BI、Power Apps 和 Azure Analysis Services）使用相同的网关安装过程。 有关如何将网关用于这些服务的信息，请参阅以下文章：
- Microsoft Power Automate 本地数据网关
- Microsoft Power BI 本地数据网关
- Microsoft Power Apps 本地数据网关
- Azure Analysis Services 本地数据网关
先决条件
Azure 帐户和订阅。 如果没有订阅，请创建免费帐户。
你的 Azure 帐户需使用
<username>@<organization>.com格式的工作帐户或学校帐户。 不能使用 Azure B2B（来宾）帐户或个人 Microsoft 帐户，例如包含 hotmail.com 或 outlook.com 域的帐户。注意
如果你注册了 Microsoft 365 产品/服务但未提供工作电子邮件地址，则该地址的格式可能是
username@domain.onmicrosoft.com。 在这种情况下，你的帐户存储在 Microsoft Entra 租户中。 大多数情况下，Azure 帐户的用户主体名称 (UPN) 与电子邮件地址相同。若要使用 与 Microsoft 帐户关联的 Visual Studio Standard 订阅 ，请先 创建 Microsoft Entra 租户，或使用默认目录。 将具有密码的用户添加到该目录，然后向该用户提供对 Azure 订阅的访问权限。 然后在网关安装期间可以使用此用户名和密码登录。
Azure 帐户必须仅属于单个 Microsoft Entra 租户或目录。 在本地计算机上安装和管理网关时，必须使用该帐户。
安装网关时，可以使用 Azure 帐户登录，这会将网关安装链接到 Azure 帐户，并且仅链接到该帐户。 不能跨多个 Azure 帐户或 Microsoft Entra 租户链接相同的网关安装。
稍后在Azure 门户中，必须使用同一 Azure 帐户来创建与网关安装关联的 Azure 网关资源。 只能将一个网关安装和一个 Azure 网关资源相互链接。 但是，可以使用 Azure 帐户来设置不同的网关安装，其中每个安装与一个 Azure 网关资源关联。 然后，你的逻辑应用工作流可以在用于访问本地数据源的触发器和操作中使用这些网关资源。
有关本地计算机操作系统和硬件要求，请参阅有关如何安装本地数据网关的主要指南。
注意事项
只在本地计算机上安装本地数据网关，而不在域控制器上安装。 不一定要在数据源所在的同一台计算机上安装网关。 对于所有数据源，只需一个网关，因此无需为每个数据源安装网关。
为了最大限度地降低延迟，请将网关安装在尽可能靠近数据源的位置或同一台计算机上（假设你拥有相应的权限）。
将网关安装在有线网络上的本地计算机上，该计算机连接到 Internet，始终处于打开状态，并且不会进入休眠状态。 否则，网关将无法运行，并且性能在无线网络上可能会受到影响。
如果你打算使用 Windows 身份验证，请确保在与数据源属于同一 Active Directory 环境的计算机上安装网关。
只能将网关安装链接到单个 Azure 帐户。
选择用于安装网关的区域是稍后为逻辑应用工作流创建 Azure 网关资源时必须选择的同一位置。 默认情况下，此区域与管理 Azure 用户帐户的 Microsoft Entra 租户的位置相同。 但是，你可以在安装网关期间或稍后更改此位置。
重要
在网关设置过程中，如果使用 Azure 政府 帐户登录，则更改区域命令不可用，该帐户与 Azure 政府 云中的 Microsoft Entra 租户相关联。 网关自动使用与用户帐户的 Microsoft Entra 租户相同的区域。
若要继续使用Azure 政府帐户，请改为将网关设置为在全局多租户 Azure 商业云中工作，请先使用
prod@microsoft.com用户名在网关安装期间登录。 此解决方案强制网关使用全局多租户 Azure 云，但仍允许继续使用Azure 政府帐户。你的逻辑应用资源和 Azure 网关资源（在安装网关后创建）必须使用相同的 Azure 订阅。 但是，这些资源可以存在于不同的 Azure 资源组中。
如果要更新网关安装，请先卸载当前的网关以获得更清晰的体验。
最佳做法是确保使用受支持的版本。 Microsoft 每个月都会发布对本地数据网关的新的更新，目前仅支持本地数据网关的六个最新版本。 如果使用的版本出现问题，请尝试升级到最新版本。 最新版本中可能解决了你遇到的问题。
网关有两种模式：标准模式和个人模式，个人模式仅适用于 Power BI。 无法在同一台计算机上以相同模式运行多个网关。
Azure 逻辑应用支持通过网关进行读取和写入操作。 但是，这些操作存在有效负载大小限制。
安装数据网关
查看最低要求，保留默认安装路径，接受使用条款，然后选择“ 安装”。
如果系统提示，请确认安装程序可以对计算机进行更改。
网关安装完成后，提供 Azure 帐户的电子邮件地址，然后选择 “登录”。
选择“在此计算机上注册新网关”>“下一步” 。
此步骤会将网关安装注册到网关云服务。
提供网关安装的以下信息：
- 在 Microsoft Entra 租户中唯一的网关名称
- 是否通过选择“添加到现有网关群集”为高可用性方案安装其他网关。
- 至少包含八个字符的恢复密钥
- 确认恢复密钥
重要
请确保将恢复密钥保存在安全的位置。 需要此密钥来移动、恢复、更改所有权或更改网关安装的位置。
查看网关云服务的区域，并Azure 服务总线网关安装使用的消息传递实例。 默认情况下，此区域与 Azure 帐户的 Microsoft Entra 租户相同。
若要接受默认区域，请选择“配置”。 如果默认区域不是离你最近的区域，则可以更改该区域。
为何要更改网关安装的区域？
例如，为了降低延迟，可以将网关的区域更改为逻辑应用资源和工作流所在的同一区域。 或者，可以选择最靠近本地数据源的区域。 Azure 中的网关资源和逻辑应用工作流可以使用不同的位置。
在当前区域的旁边，选择“更改区域”。
在下一页上打开“选择区域”列表，选择所需的区域，然后选择“完成”。
在最终确认窗口中，查看数据网关信息。 准备就绪后，请选择“关闭”。
此示例对 Azure 逻辑应用、Power BI、Power Apps 和 Power Automate 使用相同的帐户，以便网关可用于所有这些服务。
检查或调整通信设置
本地数据网关依赖于使用服务总线消息来提供云连接，并建立与网关的关联 Azure 区域相应的出站连接。 如果工作环境要求流量通过代理或防火墙来访问 Internet，此限制可能会阻止本地数据网关连接到网关云服务和服务总线消息。 网关有多个可以调整的通信设置。
例如，你可以使用自定义连接器，该连接器使用 Azure 中的本地数据网关资源来访问本地资源。 如果还具有限制特定 IP 地址的流量的防火墙，则必须设置网关安装，以允许访问相应的托管连接器 出站 IP 地址。 同一区域中的所有逻辑应用工作流使用相同的 IP 地址范围。
有关详细信息，请参阅以下文档：
高可用性支持
为了避免在访问本地数据时出现单一故障点，可以在多个不同的计算机上各使用一个网关安装（仅限标准模式），并将这些安装设置为群集或组。 这样一来，如果主网关不可用，数据请求将路由到第二个网关，依此类推。 由于在一台计算机上只能安装一个标准网关，因此必须在另一台计算机上安装位于群集中的每个附加网关。 使用本地数据网关的所有连接器都支持高可用性。
必须至少有一个网关安装，它使用的 Azure 帐户与主网关相同。 还需要获取该安装的恢复密钥。
主网关必须运行网关 2017 年 11 月更新版或更高版本。
若要在设置主网关后安装另一个网关，请执行以下操作：
在网关安装程序中，选择“添加到现有的网关群集”。
在“可用网关群集”列表中，选择安装的第一个网关。
输入该网关的恢复密钥。
选择“配置” 。
有关详细信息，请参阅本地数据网关的高可用性群集。
更改位置或者迁移、还原或接管现有网关
如果必须更改网关的位置，请将网关安装移动到新计算机、恢复损坏的网关或获取现有网关的所有权，则必须具有在网关安装过程中使用的恢复密钥。
注意
在安装了原始网关的计算机上还原网关之前，必须先卸载该计算机上的网关。 此操作会断开原始网关的连接。 如果删除任何云服务的网关群集，则无法恢复该群集。
在具有现有网关的计算机上运行网关安装程序。
根据安装程序的提示，使用安装网关时所用的同一 Azure 帐户登录。
选择“迁移、恢复或接管现有网关”>“下一步”。
从可用群集和网关中选择，然后输入所选网关的恢复密钥。
若要更改区域，请选择“更改区域”，然后选择新区域。
准备就绪后，选择“配置”。
租户级管理
若要了解 Microsoft Entra 租户中的所有本地数据网关，该租户中的全局管理员可以以租户管理员身份登录到 Power Platform 管理员 中心，然后选择“数据网关”选项。 有关详细信息，请参阅本地数据网关的租户级管理。
重启网关
默认情况下，本地计算机上的网关安装以名为“本地数据网关服务”的 Windows 服务帐户形式运行。但是，网关安装对其“登录方式”帐户凭据使用 NT SERVICE\PBIEgwService 名称，并拥有“作为服务登录”权限。
注意
Windows 服务帐户不同于用于连接到本地数据源的帐户，并且不同于登录到云服务时使用的 Azure 帐户。
与任何其他 Windows 服务一样，可以通过各种方式启动和停止网关。 有关详细信息，请参阅重启本地数据网关。
网关的工作原理
组织中的其他开发人员可以访问他们已拥有授权访问权限的本地数据。 但是，在这些开发人员可以连接到本地数据源之前，必须安装和设置本地数据网关。 通常，网关由管理员安装和设置。 可能需要拥有“服务器管理员”权限或者本地服务器方面的专业知识才能执行这些操作。
网关有助于促进更快速、更安全的后台通信。 此通信在云中的用户、网关云服务和本地数据源之间流动。 网关云服务可加密和存储数据源凭据与网关详细信息。 该服务还会在用户、网关与本地数据源之间路由查询及其结果。
网关可与防火墙配合使用，只使用出站连接。 所有流量最初都是网关代理的安全出站流量。 网关通过服务总线消息发送来自加密通道上的本地源的数据。 此服务总线在网关与调用方服务之间创建通道，但不存储任何数据。 通过网关的所有数据经过加密。
注意
根据云服务，可能需要为网关设置数据源。
这些步骤说明当你与连接到本地数据源的元素交互时会发生什么情况：
云服务将创建查询，并为数据源创建加密的凭据。 然后，该服务将查询和凭据发送到网关队列进行处理。
网关云服务分析该查询，并将请求推送到服务总线消息。
服务总线消息会将待处理的请求发送到网关。
网关获取查询，对凭据进行解密，并使用这些凭据连接到一个或多个数据源。
网关将查询发送到数据源以便运行。
结果将从数据源发回给网关，并发送到网关云服务。 网关云服务随后使用结果。
对本地数据源进行身份验证
存储的凭据用于从网关连接到本地数据源。 不管用户是谁，网关都会使用存储的凭据来建立连接。 针对特定服务（如 Power BI 中适用于 Analysis Services 的 DirectQuery 和 LiveConnect）的身份验证可能存在例外情况。
Microsoft Entra ID
Microsoft 云服务使用 Microsoft Entra ID 对用户进行身份验证。 Microsoft Entra 租户包含用户名和安全组。 通常，用于登录的电子邮件地址与帐户的 UPN 相同。
什么是 UPN？
如果你不是域管理员，你可能不知道自己的 UPN。 若要查找帐户的 UPN，请在工作站中运行 whoami /upn 命令。 尽管结果类似于电子邮件地址，但它是本地域帐户的 UPN。
将本地 Active Directory与 Microsoft Entra ID 同步
必须为本地 Active Directory帐户和 Microsoft Entra 帐户使用相同的 UPN。 因此，请确保每个本地 Active Directory帐户的 UPN 与 Microsoft Entra 帐户 UPN 匹配。 云服务仅知道 Microsoft Entra ID 中的帐户。 因此，无需将帐户添加到本地 Active Directory。 如果 Microsoft Entra ID 中不存在帐户，则无法使用该帐户。
下面是将本地 Active Directory帐户与 Microsoft Entra ID 匹配的方法。
将帐户手动添加到 Microsoft Entra ID。
在 Azure 门户或 Microsoft 365 管理中心创建一个帐户。 确保帐户名称与本地 Active Directory 帐户的 UPN 相匹配。
使用 Microsoft Entra 连接 工具将本地帐户同步到 Microsoft Entra 租户。
Microsoft Entra 连接 工具提供了用于目录同步和身份验证设置的选项。 这些选项包括密码哈希同步、直通身份验证和联合身份验证。 如果你不是租户管理员或本地域管理员，请联系 IT 管理员以设置 Microsoft Entra 连接。 Microsoft Entra 连接可确保 Microsoft Entra UPN 与本地 Active Directory UPN 匹配。 如果配合 Power BI 或单一登录 (SSO) 功能使用 Analysis Services 实时连接，则这种匹配将有所帮助。
注意
将帐户与 Microsoft Entra 连接 工具同步会在 Microsoft Entra 租户中创建新帐户。