Hinweis
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, sich anzumelden oder das Verzeichnis zu wechseln.
Für den Zugriff auf diese Seite ist eine Autorisierung erforderlich. Sie können versuchen, das Verzeichnis zu wechseln.
GILT FÜR: Basic v2 | Standard v2 | Premium | Premium v2
Die Netzwerkisolierung ist eine optionale Funktion einer Arbeitsbereich Gateway-Ressource im API Management. Dieser Artikel enthält Netzwerkressourcenanforderungen, wenn Sie Ihr Gateway in ein virtuelles Azure-Netzwerk integrieren oder einfügen. Einige Anforderungen unterscheiden sich je nach dem gewünschten Modus für den Zugriff auf eingehenden und ausgehenden Datenverkehr. Die folgenden Modi werden unterstützt:
- Integration des virtuellen Netzwerks: öffentlicher eingehender Zugriff, privater ausgehender Zugriff
- Einfügung virtueller Netzwerke: privater eingehender Zugriff, privater ausgehender Zugriff
Hintergrundinformationen zu Netzwerkoptionen in der API-Verwaltung finden Sie unter Verwenden eines virtuellen Netzwerks zum Sichern von eingehendem oder ausgehendem Datenverkehr für Azure API Management.
Hinweis
- Die Netzwerkkonfiguration eines Arbeitsbereichs-Gateways ist unabhängig von der Netzwerkkonfiguration der API Management-Instanz.
- Derzeit kann ein Arbeitsbereichs-Gateway nur in einem virtuellen Netzwerk konfiguriert werden, wenn das Gateway erstellt wird. Sie können weder die Netzwerkkonfiguration noch die Netzwerkeinstellungen des Gateways später ändern.
Netzwerkadresse
Das virtuelle Netzwerk muss sich in derselben Region und im gleichen Azure-Abonnement wie die API Management-Instanz befinden.
Dediziertes Subnetz
- Das für die VNet-Integration oder Injektion verwendete Subnetz darf nur von einem einzigen Arbeitsbereichs-Gateway verwendet werden. Du kannst es nicht mit einer anderen Azure-Ressource teilen.
Subnetzgröße
- Minimum: /27 (32 Adressen)
- Maximum: /24 (256 Adressen) – empfohlen
Subnetzdelegierung
Delegieren Sie das Subnetz wie in den folgenden Abschnitten beschrieben, um den gewünschten eingehenden und ausgehenden Zugriff zu ermöglichen.
Weitere Informationen zum Konfigurieren der Subnetzdelegierung finden Sie unter Hinzufügen oder Entfernen einer Subnetzdelegierung.
Für die Integration virtueller Netzwerke delegieren Sie das Subnetz an Microsoft. Web/serverFarms-Dienst.
Hinweis
Der Microsoft.Web Ressourcenanbieter muss im Abonnement registriert sein, damit Sie das Subnetz an den Dienst delegieren können. Schritte zum Registrieren eines Ressourcenanbieters mithilfe des Portals finden Sie unter Registrieren des Ressourcenanbieters.
Weitere Informationen zum Konfigurieren der Subnetzdelegierung finden Sie unter Hinzufügen oder Entfernen einer Subnetzdelegierung.
Netzwerksicherheitsgruppe
Du musst eine Netzwerksicherheitsgruppe (NSG) mit dem Subnetz verknüpfen. Informationen zum Einrichten einer Netzwerksicherheitsgruppe finden Sie unter Erstellen einer Netzwerksicherheitsgruppe.
- Konfigurieren Sie die Regeln in der folgenden Tabelle so, dass sie ausgehenden Zugriff auf Azure Key Vault ermöglichen, was eine Abhängigkeit für API-Management darstellt.
- Konfigurieren Sie andere ausgehende Regeln, die Sie für das Gateway benötigen, um Ihre API-Back-Ends zu erreichen.
- Konfigurieren Sie weitere NSG-Regeln, um die Netzwerkzugriffsanforderungen Ihrer Organisation zu erfüllen. Zum Beispiel verwenden Sie NSG-Regeln, um ausgehenden Datenverkehr ins Internet zu blockieren und nur Zugriff auf Ressourcen in Ihrem virtuellen Netzwerk zu erlauben.
| Richtung | Quelle | Quellportbereiche | Ziel | Zielportbereiche | Protokoll | Maßnahme | Zweck |
|---|---|---|---|---|---|---|---|
| Ausgehend | VirtualNetwork | * | AzureKeyVault | 443 | TCP | Zulassen | Abhängigkeit von Azure Key Vault |
Von Bedeutung
- Eingehende NSG-Regeln gelten nicht, wenn du ein Workspace-Gateway in ein virtuelles Netzwerk für privaten ausgehenden Zugriff integrierst. Um eingehende NSG-Regeln zu erzwingen, verwenden Sie anstelle der Integration die virtuelle Netzwerkinjektion.
- Dieses Verhalten unterscheidet sich vom Netzwerkverhalten in der klassischen Premium-Stufe, bei der eingehende NSG-Regeln sowohl im externen als auch im internen Modus für die Einbindung in virtuelle Netzwerke durchgesetzt werden. Weitere Informationen
DNS-Einstellungen für die Einbindung virtueller Netzwerke
Für die virtuelle Netzwerk-Injektion musst du dein eigenes DNS verwalten, um eingehenden Zugriff auf dein Arbeitsplatz-Gateway zu ermöglichen.
Während Sie die Möglichkeit haben, einen privaten oder benutzerdefinierten DNS-Server zu verwenden, empfehlen wir Folgendes:
- Konfigurieren Sie eine private Azure DNS-Zone.
- Verknüpfen Sie die private Azure DNS-Zone mit dem virtuellen Netzwerk.
Erfahren Sie mehr über das Einrichten einer privaten Zone in Azure DNS.
Hinweis
Wenn Sie einen privaten oder benutzerdefinierten DNS-Resolver im virtuellen Netzwerk konfigurieren, das zum Einfügen verwendet wird, müssen Sie die Namensauflösung für Azure Key Vault-Endpunkte (*.vault.azure.net) sicherstellen. Es wird empfohlen, eine private Azure-DNS-Zone zu konfigurieren, die keine zusätzliche Konfiguration erfordert, um sie zu aktivieren.
Zugriff auf Standardhostnamen
Wenn Sie ein API-Management-Workspace-Gateway erstellen, weisen Sie ihm einen Standard-Hostnamen zu. Man kann den Hostnamen im Azure-Portal auf der Übersichtsseite des Arbeitsbereichs-Gateways sehen, zusammen mit seiner privaten virtuellen IP-Adresse. Der Standard-Hostname verwendet das Format <gateway-name>-<random hash>.gateway.<region>-<number>.azure-api.net. Beispiel: team-workspace-123456abcdef.gateway.uksouth-01.azure-api.net
Hinweis
Das Arbeitsbereichs-Gateway antwortet nur auf Anforderungen für den Hostnamen, der für seinen Endpunkt konfiguriert ist, nicht für seine private VIP-Adresse.
Konfigurieren eines DNS-Eintrags
Erstellen Sie einen A-Eintrag in Ihrem DNS-Server, um von Ihrem virtuellen Netzwerk aus auf den Arbeitsbereich zuzugreifen. Ordnen Sie den Endpunktdatensatz der privaten VIP-Adresse Ihres Arbeitsbereichs-Gateways zu.
Zu Testzwecken können Sie die Hostdatei auf einem virtuellen Computer in einem Subnetz aktualisieren, das mit dem virtuellen Netzwerk, in dem API Management bereitgestellt wird, verbunden ist. Wenn die private virtuelle IP-Adresse für Ihr Arbeitsbereichs-Gateway 10.1.0.5 lautet, können Sie die Hostdatei zuordnen, wie im folgenden Beispiel gezeigt. Die Hosts-Zuordnungsdatei befindet sich unter %SystemDrive%\drivers\etc\hosts (Windows) oder /etc/hosts (Linux, macOS).
| Interne virtuelle IP-Adresse | Gatewayhostname |
|---|---|
| 10.1.0.5 | teamworkspace.gateway.westus.azure-api.net |