適用対象: Basic v2 | Standard v2 | Premium | Premium v2
ネットワーク分離は、API Management の ワークスペース ゲートウェイ リソースのオプション機能です。 この記事では、Azure 仮想ネットワークにゲートウェイを統合または挿入するときのネットワーク リソース要件について説明します。 一部の要件は、必要な受信と送信のアクセス モードによって異なります。 次のクエリ モードがサポートされています。
- 仮想ネットワーク統合: パブリック受信アクセス、プライベート送信アクセス
- 仮想ネットワークの挿入: プライベート受信アクセス、プライベート送信アクセス
API Management のネットワーク オプションの背景については、「 仮想ネットワークを使用して Azure API Management の受信または送信トラフィックをセキュリティで保護する」を参照してください。
注
- ワークスペース ゲートウェイのネットワーク構成は、API Management インスタンスのネットワーク構成とは無関係です。
- 現時点では、ワークスペース ゲートウェイは、ゲートウェイの作成時にのみ仮想ネットワークに設定できます。 ゲートウェイのネットワーク構成または設定を後で変更することはできません。
ネットワークの場所
仮想ネットワークは、API Management インスタンスと同じリージョンおよび Azure サブスクリプションに存在する必要があります。
専用サブネット
- 仮想ネットワークの統合または挿入に使用されるサブネットは、1 つのワークスペース ゲートウェイでのみ使用できます。 他のAzureリソースと共有することはできません。
サブネットのサイズ
- 最小: /27 (32 アドレス)
- 最大: /24 (256 アドレス) - おすすめ
サブネットの委任
以下のセクションで説明するようにサブネットを委任し、望ましいインバウンドおよびアウトバウンドアクセスを可能にします。
サブネットの委任の構成については、「サブネットの委任を追加または削除する」を参照してください。
仮想ネットワーク統合では、サブネットをMicrosoft.Web/serverFarmsサービスに委任してください。
注
サブネットをサービスに委任できるように、 Microsoft.Web リソース プロバイダーをサブスクリプションに登録する必要があります。 ポータルを使用してリソース プロバイダーを登録する手順については、「 リソース プロバイダーの登録」を参照してください。
サブネットの委任の構成の詳細については、「サブネットの委任を追加または削除する」を参照してください。
ネットワーク セキュリティ グループ
サブネットにはネットワークセキュリティグループ(NSG)を関連付ける必要があります。 ネットワーク セキュリティ グループを設定するには、「 ネットワーク セキュリティ グループを作成する」を参照してください。
- 以下の表のルールを設定し、API Managementの依存関係であるAzure Key Vaultへのアウトバウンドアクセスを許可します。
- ゲートウェイが API バックエンドに到達するために必要な他の送信規則を構成します。
- 組織のネットワークアクセス要件を満たすために他のNSGルールを設定しましょう。 例えば、NSGルールを使ってインターネットへのアウトバウンドトラフィックをブロックし、仮想ネットワーク内のリソースのみへのアクセスを許可します。
| 方向 | ソース | 送信ポート範囲 | 宛先 | 宛先ポート範囲 | プロトコル | アクション | 目的 |
|---|---|---|---|---|---|---|---|
| 送信 | 仮想ネットワーク | * | AzureKeyVault | 443 | TCP | 許可する | Azure Key Vault への依存関係 |
Important
- プライベートなアウトバウンドアクセスのために仮想ネットワークにワークスペースゲートウェイを統合する場合、インバウンドNSGルールは適用されません。 受信 NSG 規則を適用するには、統合の代わりに仮想ネットワークの挿入を使用します。
- この動作は、外部および内部の仮想ネットワーク注入モードの両方でインバウンドNSGルールが強制される従来のプレミアムティアのネットワークとは異なります。 詳細情報
仮想ネットワークインジェクションの DNS 設定
仮想ネットワーク注入には、ワークスペースゲートウェイへのインバウンドアクセスを可能にするために、自分でDNSを管理する必要があります。
プライベートまたはカスタム DNS サーバーを使用するオプションは用意されていますが、次のことをお勧めします。
- Azure DNS プライベート ゾーンを構成します。
- 仮想ネットワークに Azure DNS プライベート ゾーンをリンクします。
Azure DNS でのプライベート ゾーンの設定方法を確認してください。
注
インジェクションに使用する仮想ネットワークでプライベートまたはカスタム DNS リゾルバーを構成する場合は、Azure Key Vault エンドポイント (*.vault.azure.net) の名前解決を確保する必要があります。 有効にするために追加の構成を必要としない Azure プライベート DNS ゾーンを構成することをお勧めします。
既定のホスト名でのアクセス
API管理ワークスペースゲートウェイを作成する際には、デフォルトのホスト名を割り当てます。 Azureポータルのワークスペースゲートウェイの概要ページでホスト名とプライベート仮想IPアドレスを確認できます。 デフォルトのホスト名はフォーマット <gateway-name>-<random hash>.gateway.<region>-<number>.azure-api.netを使用しています。 たとえば、「 team-workspace-123456abcdef.gateway.uksouth-01.azure-api.net 」のように入力します。
注
ワークスペース ゲートウェイは、プライベート VIP アドレスではなく、エンドポイントで構成されたホスト名に対する要求にのみ応答します。
DNS レコードを構成する
仮想ネットワーク内からワークスペースにアクセスするための A レコードを DNS サーバーに作成します。 エンドポイント レコードをワークスペース ゲートウェイのプライベート VIP アドレスにマップします。
テスト目的で、API Management がデプロイされている仮想ネットワークに接続されているサブネット内の仮想マシン上のホスト ファイルを更新できます。 ワークスペース ゲートウェイのプライベート仮想 IP アドレスを 10.1.0.5 と仮定すると、次の例に示すようにホスト ファイルをマップできます。 hosts マッピング ファイルは、%SystemDrive%\drivers\etc\hosts (Windows) または /etc/hosts (Linux、macOS) にあります。
| 内部仮想 IP アドレス | ゲートウェイ ホスト名 |
|---|---|
| 10.1.0.5 | teamworkspace.gateway.westus.azure-api.net |