IP-Adressen in Azure API-Verwaltung

GILT FÜR: Alle API Management-Ebenen

In diesem Artikel wird beschrieben, wie Sie die IP-Adressen der Azure API-Verwaltung abrufen. IP-Adressen können öffentlich oder privat sein, wenn sich der Dienst in einem virtuellen Netzwerk befindet. Sie können IP-Adressen verwenden, um Firewallregeln zu erstellen, eingehenden Datenverkehr in Back-End-Dienste zu filtern oder ausgehenden Datenverkehr einzuschränken.

Öffentliche IP-Adressen

Jede API-Management-Instanz im Entwickler-, Basic-, Standard- oder Premium-Niveau hat öffentliche IP-Adressen, die exklusiv für diese Instanz sind. (Sie werden nicht mit anderen Ressourcen geteilt.)

Rufen Sie die IP-Adressen aus dem Übersichts-Dashboard Ihrer Ressource im Azure-Portal ab:

Screenshot einer IP-Adresse in der API-Verwaltung.

Alternativ können Sie sie programmatisch mit diesem API-Aufruf abrufen:

GET https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ApiManagement/service/<service-name>?api-version=<api-version>

Öffentliche IP-Adressen erscheinen in der Antwort:

{
  ...
  "properties": {
    ...
    "publicIPAddresses": [
      "172.31.0.1"
    ],
    ...
  }
  ...
}

Bei Bereitstellungen in mehreren Regionen verfügt jede regionale Bereitstellung über eine einzelne öffentliche IP-Adresse.

IP-Adressen der API-Verwaltung in einem virtuellen Netzwerk

Wenn sich Ihre API-Verwaltungsinstanz in einem virtuellen Netzwerk befindet, verfügt sie über zwei Arten von IP-Adressen: öffentlich und privat.

  • Verwenden Sie öffentliche IP-Adressen für interne Kommunikation am Port, 3443 um die Konfiguration zu verwalten, zum Beispiel über Azure Resource Manager. In der externen virtuellen Netzwerkkonfiguration werden sie auch für Laufzeit-API-Verkehr verwendet. In der internen virtuellen Netzwerkkonfiguration verwenden Sie öffentliche IP-Adressen nur für interne Azure-Verwaltungsoperationen. Sie stellen deine Instanz nicht dem Internet offen.

  • Verwenden Sie private virtuelle IP-Adressen (VIP), die nur im internen virtuellen Netzwerkmodus verfügbar sind, um sich innerhalb des Netzwerks mit API-Management-Endpunkten zu verbinden: Gateways, das Entwicklerportal und die Managementebene für direkten API-Zugriff. Verwenden Sie diese Adressen, um DNS-Einträge im Netzwerk einzurichten.

Sie sehen Adressen beider Typen im Azure-Portal und in der Antwort eines API-Aufrufs:

Screenshot einer VIP-Adresse in der API-Verwaltung. 

GET https://management.azure.com/subscriptions/<subscription-id>/resourceGroups/<resource-group>/providers/Microsoft.ApiManagement/service/<service-name>?api-version=<api-version>

{
  ...
  "properties": {
    ...
    "publicIPAddresses": [
      "172.31.0.1"
    ],
    "privateIPAddresses": [
      "192.168.1.5"
    ],
    ...
  },
  ...
}

Wichtig

Die internen Load Balancer- und API-Management-Einheiten erhalten dynamisch private IP-Adressen. Man kann die private IP der API-Management-Instanz nicht vor deren Bereitstellung vorhersehen. Außerdem kann das Wechseln in ein anderes Subnetz und dann zurückkehren zu einer Änderung der privaten IP-Adresse führen.

IP-Adressen für ausgehenden Datenverkehr

Die API-Verwaltung verwendet eine öffentliche IP-Adresse für eine Verbindung außerhalb des virtuellen Netzwerks oder eines virtuellen Peernetzwerks. Es verwendet eine private IP-Adresse für eine Verbindung im virtuellen Netzwerk oder ein peeriertes virtuelles Netzwerk.

  • Wenn Sie das API-Management in einem externen oder internen virtuellen Netzwerk bereitstellen und es sich mit privaten (intranet-orientierten) Backends verbindet, verwendet das API-Management interne IP-Adressen (dynamische IP- oder DIP-Adressen) aus dem Subnetz für den Laufzeit-API-Verkehr. Wenn API Management eine Anfrage an ein privates Backend sendet, ist eine private IP-Adresse als Ursprung der Anfrage sichtbar.

    Wenn also IP-Einschränkungen sichere Ressourcen innerhalb des virtuellen Netzwerks oder eines peered virtuellen Netzwerks auflisten, sollten Sie den gesamten API-Management-Subnetzbereich mit einer IP-Regel verwenden und (im internen Modus) nicht nur die private IP-Adresse, die mit der API-Management-Ressource verknüpft ist.

  • Wenn das API-Management eine Anfrage an ein öffentliches (internetbezogenes) Backend sendet, ist immer eine öffentliche IP-Adresse als Ursprung der Anfrage sichtbar.

IP-Adressen von API Management-Instanzen der Dienstebenen Verbrauch, Basic v2, Standard v2 und Premium v2

Wenn du deine API-Management-Instanz in einem Service-Tier erstellst, das auf einer gemeinsamen Infrastruktur läuft, hat sie keine dedizierte IP-Adresse. Aktuell laufen Instanzen der folgenden Serviceebenen auf einer gemeinsam genutzten Infrastruktur und ohne deterministische IP-Adresse: Consumption, Basic v2, Standard v2, Premium v2.

Wenn Sie die ausgehenden IP-Adressen Ihrer Consumption-, Basic v2-, Standard v2- oder Premium-v2-Tier-Instanz in eine Erlaubnisliste aufnehmen müssen, können Sie das Rechenzentrum der Instanz (Azure-Region) zu einer Erlaubnisliste hinzufügen. Laden Sie eine JSON-Datei herunter, die IP-Adressen aller Azure-Rechenzentren auflistet. Suchen Sie dann das JSON-Fragment, das für die Region gilt, in der Ihre Instanz ausgeführt wird.

Zum Beispiel könnte das folgende JSON-Fragment so aussehen, wie die Zulassungsliste für Westeuropa aussehen könnte:

{
  "name": "AzureCloud.westeurope",
  "id": "AzureCloud.westeurope",
  "properties": {
    "changeNumber": 9,
    "region": "westeurope",
    "platform": "Azure",
    "systemService": "",
    "addressPrefixes": [
      "13.69.0.0/17",
      "13.73.128.0/18",
      ... Some IP addresses not shown here
     "213.199.183.0/24"
    ]
  }
}

Informationen dazu, wann diese Datei aktualisiert wird und wann die IP-Adresse geändert wird, finden Sie im Abschnitt Details auf der Download Center-Seite.

Änderungen an IP-Adressen

In den Ebenen "Developer", "Basic", "Standard" und "Premium" der API-Verwaltung sind die öffentlichen IP-Adressen oder Adressen (VIP) und private VIP-Adressen (sofern im internen virtuellen Netzwerkmodus konfiguriert) für die Lebensdauer eines Diensts statisch, mit den folgenden Ausnahmen:

  • Die API-Verwaltung wird gelöscht und dann erneut erstellt.

  • Das Dienstabonnement wird deaktiviert, oder es wird eine diesbezügliche Warnung ausgegeben (z.B. aufgrund von nicht geleisteten Zahlungen), und anschließend wird es reaktiviert. Erfahren Sie mehr über Abonnementstaaten.

  • (Developer- und Premium-Tarife) Azure Virtual Network wird dem Dienst hinzugefügt oder daraus entfernt.

  • (Entwickler- und Premium-Tarifstufen) Die API-Verwaltung wird zwischen dem externen und internen Bereitstellungsmodus für virtuelle Netzwerke umgeschaltet.

  • (Entwickler- und Premium-Stufen) Die API-Verwaltung wird in ein anderes Subnetz verschoben oder mit einer anderen öffentlichen IP-Adressressource konfiguriert.

  • (Premium-Tarif) Verfügbarkeitszonen werden aktiviert, hinzugefügt oder entfernt.

  • (Premium-Tarif) Bei Bereitstellungen in mehreren Regionen ändert sich die regionale IP-Adresse, wenn eine Region verlassen und anschließend reaktiviert wird.

    Wichtig

    Wenn Sie von einem internen in ein externes virtuelles Netzwerk wechseln oder Subnetze im Netzwerk ändern, können Sie eine andere öffentliche IP-Adresse konfigurieren. Wenn Sie keines angeben, wird automatisch eine von Azure verwaltete öffentliche IP-Adresse konfiguriert.

Verwandte Inhalte

  • Zuletzt aktualisiert um