Anslut privat till API Management med hjälp av en inkommande privat slutpunkt

Artikel
10/24/2023

GÄLLER FÖR: Utvecklare | Grundläggande | Standard | Premium

Du kan konfigurera en inkommande privat slutpunkt för din API Management-instans så att klienter i ditt privata nätverk kan få säker åtkomst till instansen via Azure Private Link.

Den privata slutpunkten använder en IP-adress från ett virtuellt Azure-nätverk där den finns.
Nätverkstrafiken mellan en klient i ditt privata nätverk och API Management passerar via det virtuella nätverket och en privat länk i Microsofts stamnätverk, vilket gör att det inte exponeras för det offentliga Internet.
Konfigurera anpassade DNS-inställningar eller en privat Azure DNS-zon så att du kan mappa API Management-värdnamnet till slutpunktens privata IP-adress.

Diagram som visar en säker inkommande anslutning till API Management med hjälp av en privat slutpunkt.

Med en privat slutpunkt och Private Link kan du:

Skapa flera Private Link-anslutningar till en API Management-instans.
Använda den privata slutpunkten för att skicka inkommande trafik via en säker anslutning.
Använda en princip för att särskilja trafik som kommer från den privata slutpunkten.
Begränsa endast inkommande trafik till privata slutpunkter, vilket förhindrar dataexfiltrering.

Viktigt!

Du kan bara konfigurera en privat slutpunktsanslutning för inkommande trafik till API Management-instansen. För närvarande stöds inte utgående trafik.

Du kan använda modellen för externt eller internt virtuellt nätverk för att upprätta utgående anslutning till privata slutpunkter från DIN API Management-instans.
Api Management-instansen kan inte matas in i ett externt eller internt virtuellt nätverk för att aktivera inkommande privata slutpunkter.

Begränsningar

Endast API Management-instansens Gateway-slutpunkt stöder inkommande Private Link-anslutningar.
Varje API Management-instans stöder högst 100 Private Link-anslutningar.
Anslut ions stöds inte på den lokalt installerade gatewayen.

Förutsättningar

En befintlig API Management-instans. Skapa en om du inte redan har gjort det.
- API Management-instansen måste finnas på beräkningsplattformenstv2. Skapa till exempel en ny instans eller, om du redan har en instans på Premium-tjänstnivån, aktivera zonredundans.
- Distribuera inte instansen till ett externt eller internt virtuellt nätverk.
Ett virtuellt nätverk och undernät som ska vara värd för den privata slutpunkten. Undernätet kan innehålla andra Azure-resurser.
(Rekommenderas) En virtuell dator i samma eller ett annat undernät i det virtuella nätverket för att testa den privata slutpunkten.

Godkännandemetod för privat slutpunkt

Vanligtvis skapar en nätverksadministratör en privat slutpunkt. Beroende på dina RBAC-behörigheter (Rollbaserad åtkomstkontroll) i Azure godkänns en privat slutpunkt som du skapar antingen automatiskt för att skicka trafik till API Management-instansen eller kräver att resursägaren godkänner anslutningen manuellt.

Godkännandemetod	Minsta RBAC-behörigheter
Automatisk	`Microsoft.Network/virtualNetworks/` `Microsoft.Network/virtualNetworks/subnets/` `Microsoft.Network/privateEndpoints/` `Microsoft.Network/networkinterfaces/` `Microsoft.Network/locations/availablePrivateEndpointTypes/read` `Microsoft.ApiManagement/service/` `Microsoft.ApiManagement/service/privateEndpointConnections/`
Manuell	`Microsoft.Network/virtualNetworks/` `Microsoft.Network/virtualNetworks/subnets/` `Microsoft.Network/privateEndpoints/` `Microsoft.Network/networkinterfaces/` `Microsoft.Network/locations/availablePrivateEndpointTypes/read`

Steg för att konfigurera privat slutpunkt

Hämta tillgängliga privata slutpunktstyper i prenumerationen
Inaktivera nätverksprinciper i undernätet
Skapa privat slutpunkt – portalen
Lista privata slutpunktsanslutningar till instansen
Godkänna väntande privata slutpunktsanslutningar
Du kan också inaktivera åtkomst till offentligt nätverk

Hämta tillgängliga privata slutpunktstyper i prenumerationen

Kontrollera att den privata slutpunktstypen API Management är tillgänglig i din prenumeration och plats. I portalen hittar du den här informationen genom att gå till Private Link Center. Välj Resurser som stöds.

Du kan också hitta den här informationen med hjälp av REST API för tillgängliga privata slutpunkter – lista .

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Network/locations/{region}/availablePrivateEndpointTypes?api-version=2021-03-01

Utdata ska innehålla slutpunktstypen Microsoft.ApiManagement.service :

[...]

      "name": "Microsoft.ApiManagement.service",
      "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Network/AvailablePrivateEndpointTypes/Microsoft.ApiManagement.service",
      "type": "Microsoft.Network/AvailablePrivateEndpointTypes",
      "resourceName": "Microsoft.ApiManagement/service",
      "displayName": "Microsoft.ApiManagement/service",
      "apiVersion": "2021-04-01-preview"
    }
[...]

Inaktivera nätverksprinciper i undernätet

Nätverksprinciper som nätverkssäkerhetsgrupper måste inaktiveras i det undernät som används för den privata slutpunkten.

Om du använder verktyg som Azure PowerShell, Azure CLI eller REST API för att konfigurera privata slutpunkter uppdaterar du undernätskonfigurationen manuellt. Exempel finns i Hantera nätverksprinciper för privata slutpunkter.

När du använder Azure-portalen för att skapa en privat slutpunkt, som du ser i nästa avsnitt, inaktiveras nätverksprinciper automatiskt som en del av skapandeprocessen

Skapa privat slutpunkt – portalen

Gå till DIN API Management-tjänst i Azure-portalen.
I den vänstra menyn väljer du Nätverk.
Välj Inkommande privata slutpunktsanslutningar>+ Lägg till slutpunkt.

På fliken Grundläggande i Skapa en privat slutpunkt anger eller väljer du följande information:

Inställning	Värde
Projektinformation
Prenumeration	Välj din prenumeration.
Resursgrupp	Välj en befintlig resursgrupp eller skapa en ny. Den måste finnas i samma region som ditt virtuella nätverk.
Instansinformation
Name	Ange ett namn för slutpunkten, till exempel myPrivateEndpoint.
Namn på nätverksgränssnitt	Ange ett namn för nätverksgränssnittet, till exempel myInterface
Region	Välj en plats för den privata slutpunkten. Den måste finnas i samma region som ditt virtuella nätverk. Det kan skilja sig från den region där DIN API Management-instans finns.

Välj fliken Resurs eller knappen Nästa: Resurs längst ned på sidan. Följande information om DIN API Management-instans är redan ifylld:
- Prenumeration
- Resursgrupp
- Resursnamn
I Resurs går du till Underresurs för Mål och väljer Gateway.
Välj fliken Virtuellt nätverk eller knappen Nästa: Virtuellt nätverk längst ned på skärmen.

I Nätverk anger eller väljer du den här informationen:

Inställning	Värde
Virtuellt nätverk	Välj ditt virtuella nätverk.
Undernät	Välj ditt undernät.
Privat IP-konfiguration	I de flesta fall väljer du Dynamiskt allokera IP-adress.
Programsäkerhetsgrupp	Du kan också välja en programsäkerhetsgrupp.

Välj fliken DNS eller knappen Nästa: DNS längst ned på skärmen.

I Privat DNS integrering anger eller väljer du den här informationen:

Inställning	Värde
Integrera med privat DNS-zon	Lämna standardvärdet Ja.
Prenumeration	Välj din prenumeration.
Resursgrupp	Välj din resursgrupp.
Privata DNS-zoner	Standardvärdet visas: (ny) privatelink.azure-api.net.

Välj fliken Taggar eller knappen Nästa: Flikar längst ned på skärmen. Om du vill anger du taggar för att organisera dina Azure-resurser.
Välj Granska + skapa.
Välj Skapa.

Lista privata slutpunktsanslutningar till instansen

När den privata slutpunkten har skapats visas den i listan på api Management-instansens sida för inkommande privata slutpunktsanslutningar i portalen.

Du kan också använda PRIVATE Endpoint Anslut ion – List By Service REST API för att visa en lista över privata slutpunktsanslutningar till tjänstinstansen.

Observera slutpunktens Anslut ionsstatus:

Godkänd anger att API Management-resursen automatiskt godkände anslutningen.
Väntande anger att anslutningen måste godkännas manuellt av resursägaren.

Godkänna väntande privata slutpunktsanslutningar

Om en privat slutpunktsanslutning är i väntande status måste en ägare av API Management-instansen godkänna den manuellt innan den kan användas.

Om du har tillräcklig behörighet godkänner du en privat slutpunktsanslutning på sidan Privata slutpunktsanslutningar för API Management-instansen i portalen.

Du kan också använda API Management Private Endpoint Anslut ion – Skapa eller uppdatera REST API.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ApiManagement/service/{apimServiceName}privateEndpointConnections/{privateEndpointConnectionName}?api-version=2021-08-01

Du kan också inaktivera åtkomst till offentligt nätverk

Om du vill begränsa inkommande trafik till API Management-instansen endast till privata slutpunkter inaktiverar du åtkomst till det offentliga nätverket. Använd API Management Service – Skapa eller uppdatera REST API för att ange publicNetworkAccess egenskapen till Disabled.

Kommentar

Egenskapen publicNetworkAccess kan bara användas för att inaktivera offentlig åtkomst till API Management-instanser som konfigurerats med en privat slutpunkt, inte med andra nätverkskonfigurationer som VNet-inmatning.

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ApiManagement/service/{apimServiceName}?api-version=2021-08-01
Authorization: Bearer {{authToken.response.body.access_token}}
Content-Type: application/json

Använd följande JSON-brödtext:

{
  [...]
  "properties": {
    "publicNetworkAccess": "Disabled"
  }
}

Verifiera privat slutpunktsanslutning

Bekräfta DNS-inställningarna i portalen när den privata slutpunkten har skapats:

Gå till DIN API Management-tjänst i Azure-portalen.
I den vänstra menyn väljer du Nätverks>inkommande privata slutpunktsanslutningar och väljer den privata slutpunkt som du skapade.
Välj DNS-konfiguration i det vänstra navigeringsfältet.
Granska den privata slutpunktens DNS-poster och IP-adress. IP-adressen är en privat adress i adressutrymmet för det undernät där den privata slutpunkten har konfigurerats.

Testa i virtuellt nätverk

Anslut till en virtuell dator som du har konfigurerat i det virtuella nätverket.

Kör ett verktyg som nslookup eller dig för att leta upp IP-adressen för din standardgatewayslutpunkt via Private Link. Till exempel:

nslookup my-apim-service.azure-api.net

Utdata bör innehålla den privata IP-adress som är associerad med den privata slutpunkten.

API-anrop som initieras i det virtuella nätverket till standardslutpunkten för gatewayen ska lyckas.

Testa från Internet

Försök anropa API Management-instansens standardslutpunkt för gatewayen utanför den privata slutpunktens sökväg. Om offentlig åtkomst är inaktiverad innehåller utdata ett fel med statuskod 403 och ett meddelande som liknar:

Request originated from client public IP address xxx.xxx.xxx.xxx, public network access on this 'Microsoft.ApiManagement/service/my-apim-service' is disabled.
       
To connect to 'Microsoft.ApiManagement/service/my-apim-service', please use the Private Endpoint from inside your virtual network.

Nästa steg

Använd principuttryck med variabeln context.request för att identifiera trafik från den privata slutpunkten.
Läs mer om privata slutpunkter och Private Link, inklusive priser för Private Link.
Läs mer om att hantera privata slutpunktsanslutningar.
Felsöka anslutningsproblem med privata slutpunkter i Azure.
Använd en Resource Manager-mall för att skapa en API Management-instans och en privat slutpunkt med privat DNS-integrering.