Een Azure API Management-exemplaar injecteren in een particulier virtueel netwerk - Premium v2-laag

VAN TOEPASSING OP: Premium v2

In dit artikel wordt u begeleid bij de vereisten voor het injecteren van uw Azure API Management Premium v2-exemplaar in een virtueel netwerk.

Wanneer een API Management Premium v2-exemplaar wordt geïnjecteerd in een virtueel netwerk:

• Het EINDPUNT van de API Management-gateway is toegankelijk via het virtuele netwerk op een privé-IP-adres.
• API Management kan uitgaande aanvragen indienen bij API-back-ends die zijn geïsoleerd in het netwerk of een peernetwerk, zolang de netwerkverbinding juist is geconfigureerd.

Deze configuratie wordt aanbevolen voor scenario's waarin u netwerkverkeer wilt isoleren naar zowel het API Management-exemplaar als de back-end-API's.

Zie Integreren met een virtueel netwerk voor uitgaande verbindingen als u openbare inkomende toegang tot een API Management-exemplaar in de laag Standard v2 of Premium v2 wilt inschakelen, maar uitgaande toegang tot netwerk-geïsoleerde back-ends wilt beperken.

Vereisten

• Een Azure API Management-exemplaar in de prijscategorie Premium v2 .
• Een virtueel netwerk waar uw client-apps en uw API Management-back-end-API's worden gehost. Zie de volgende secties voor vereisten en aanbevelingen voor het virtuele netwerk en subnet dat wordt gebruikt voor het API Management-exemplaar.

Netwerklocatie

• Het virtuele netwerk moet zich in dezelfde regio en hetzelfde Azure-abonnement bevinden als het API Management-exemplaar.

Toegewezen subnet

• Het subnet dat wordt gebruikt voor virtuele netwerkinjectie, kan alleen worden gebruikt door één API Management-exemplaar. Het kan niet worden gedeeld met een andere Azure-resource.

Subnetgrootte

• Minimum: /27 (32 adressen)
• Aanbevolen: /24 (256 adressen) - voor het schalen van het API Management-exemplaar

Voorbeelden

In de volgende tabel ziet u voorbeelden van subnetgrootten voor injectie van virtuele API Management-netwerken, waarin wordt aangegeven hoe verschillende CIDR-blokken van invloed zijn op het aantal schaaleenheden dat mogelijk is:

^* Premium v2-limiet

Belangrijkste punten

• Minimale subnetgrootte: /27 (biedt 24 bruikbare IP-adressen voor API Management)
• Gereserveerde IP-adressen van Azure: 5 adressen per subnet (eerste en laatste voor protocolconformance, plus 3 voor Azure-services)
• Uitschaalvereiste: Voor elke uitschaaleenheid zijn 2 IP-adressen vereist
• Interne load balancer: alleen vereist wanneer API Management wordt geïmplementeerd in de modus intern virtueel netwerk
• Premium V2-limiet: momenteel biedt ondersteuning voor maximaal 30 eenheden.

Netwerkbeveiligingsgroep

Je moet een netwerkbeveiligingsgroep (NSG) koppelen aan het subnet. Zie Een netwerkbeveiligingsgroep maken om een netwerkbeveiligingsgroep in te stellen.

• Configureer de regels in de volgende tabel om uitgaande toegang tot Azure Key Vault toe te staan, wat een afhankelijkheid is voor API-beheer.
• Configureer andere uitgaande regels die u nodig hebt voor de gateway om uw API-back-ends te bereiken.
• Configureer andere NSG-regels om te voldoen aan de netwerktoegangsvereisten van uw organisatie. Gebruik bijvoorbeeld NSG-regels om uitgaand verkeer naar het internet te blokkeren en alleen toegang te geven tot bronnen in je virtuele netwerk.

Delegatie van subnet

Delegeer het subnet aan de Microsoft.ApiManagement/service-service.

Zie Een subnetdelegering toevoegen of verwijderen voor meer informatie over het configureren van subnetdelegering.

Machtigingen

U moet ten minste de volgende op rollen gebaseerde toegangsbeheermachtigingen voor het subnet of op een hoger niveau hebben om virtuele netwerkinjectie te configureren:

API Management in een virtueel netwerk injecteren

Wanneer u een Premium v2-exemplaar maakt met behulp van Azure Portal, kunt u eventueel instellingen configureren voor virtuele netwerkinjectie.

1. Selecteer in de wizard API Management-service aanmaken het tabblad Netwerk.
2. Selecteer Virtueel netwerk bij Connectiviteitstype.
3. Selecteer in TypeDe injectie van het virtuele netwerk.
4. Selecteer in Virtuele netwerken configureren het virtuele netwerk en het gedelegeerde subnet dat u wilt injecteren.
5. Voltooi de wizard om het API Management-exemplaar te maken.

DNS-instellingen voor toegang tot privé-IP-adres

Wanneer een Premium v2 API Management-exemplaar wordt geïnjecteerd in een virtueel netwerk, moet u uw eigen DNS beheren om binnenkomende toegang tot API Management in te schakelen.

Hoewel u de mogelijkheid hebt om een privé- of aangepaste DNS-server te gebruiken, raden we u aan:

1. Configureer een privézone van Azure DNS.
2. Koppel de privézone van Azure DNS aan het virtuele netwerk.

Meer informatie over het instellen van een privézone in Azure DNS.

Eindpunttoegang op standaardhostnaam

Wanneer u een API Management-exemplaar in de Premium v2-laag maakt, wordt aan het volgende eindpunt een standaardhostnaam toegewezen:

• Gateway - voorbeeld: contoso-apim.azure-api.net

DNS-record configureren

Maak een A-record op uw DNS-server voor toegang tot het API Management-exemplaar vanuit uw virtuele netwerk. Koppel de record van het eindpunt aan het privé-VIP-adres van uw API Management-exemplaar.

Voor testdoeleinden kunt u het hosts-bestand bijwerken op een virtuele machine in een subnet dat is verbonden met het virtuele netwerk waarin API Management wordt geïmplementeerd. Ervan uitgaande dat het privé-virtuele IP-adres voor uw API Management-instantie 10.1.0.5 is, kunt u het hostbestand toewijzen, zoals in het volgende voorbeeld te zien is. Het toewijzingsbestand voor hosts bevindt zich in %SystemDrive%\drivers\etc\hosts (Windows) of /etc/hosts (Linux, macOS). Voorbeeld:

Gerelateerde inhoud

• Een virtueel netwerk gebruiken met Azure API Management
• Een aangepaste domeinnaam configureren voor uw Azure API Management-exemplaar