Azure API Management kullanarak bir sanal ağa Bağlan

Azure API Management, ağ içindeki arka uç hizmetlerine erişmek için bir Azure sanal ağı (VNET) içinde dağıtılabilir. VNET bağlantı seçenekleri, gereksinimleri ve konuları için bkz. Azure API Management ile sanal ağ kullanma.

Bu makalede, geliştirici portalı, API ağ geçidi ve diğer API Management uç noktalarına genel İnternet 'ten erişilebilen dış modda API Management örneğiniz için VNET bağlantısının nasıl ayarlanacağı açıklanır. uç noktalara özgü, uç noktaların yalnızca VNET içinde erişilebilir olduğu dahili moda özgü yapılandırmalarda, bkz. Azure API Management kullanarak iç sanal ağa Bağlan.

Kullanılabilirlik

Önkoşullar

Bazı Önkoşullar, stv2 stv1 API Management örneğinizi barındıran işlem platformunun sürümüne (veya) bağlı olarak farklılık gösterir.

VNET bağlantısını etkinleştir

Azure portal kullanarak VNET bağlantısını etkinleştirme ( stv2 işlem platformu)

1. API Management örneğinizi bulmak için Azure Portal gidin. API Management Hizmetleri arayın ve seçin.

2. API Management örneğinizi seçin.

3. Sanal ağ' ı seçin.

4. Dış erişim türünü seçin.

5. API Management hizmetinizin sağlandığı konumlar (bölgeler) listesinde:

   1. Bir konum seçin.
   2. Sanal ağ, alt ağ ve IP adresi' ni seçin.

   • VNET listesi, yapılandırdığınız bölgede ayarlanmış Azure aboneliklerinizde bulunan Kaynak Yöneticisi sanal ağlar ile doldurulur.

     

6. Uygula’yı seçin. API Management örneğinizin sanal ağ sayfası, yeni VNET ve alt ağ seçimlerinizle güncelleştirilir.

7. API Management örneğinizin kalan konumları için VNET ayarlarını yapılandırmaya devam edin.

8. Üst gezinti çubuğunda Kaydet' i ve ardından ağ yapılandırması Uygula' yı seçin.

   API Management örneğinin güncelleştirilmesi 15 ila 45 dakika sürebilir.

Kaynak Yöneticisi şablonu kullanarak bağlantıyı etkinleştirme

Bir API Management örneği dağıtmak ve VNET 'e bağlanmak için aşağıdaki şablonları kullanın. Şablonlar, stv2 stv1 API Management örneğinizi barındıran işlem platformunun sürümüne (veya) göre farklılık gösterir.

sanal ağ içinde barındırılan bir web hizmetine Bağlan

API Management hizmetinizi VNET 'e bağladıktan sonra, bunun içindeki arka uç hizmetlerine yalnızca genel hizmetleri yaptığınız gibi erişebilirsiniz. Bir API oluştururken veya düzenlenirken, Web hizmetinizin Web hizmeti URL 'si ALANıNA yerel IP adresini veya ana bilgisayar adını (VNet IÇIN bir DNS sunucusu yapılandırılmışsa) yazın.

Ortak ağ yapılandırma sorunları

Daha fazla ağ yapılandırma ayarı için aşağıdaki bölümleri gözden geçirin.

Bu ayarlar, VNET 'e API Management hizmeti dağıtıldığında oluşabilecek yaygın yanlış yapılandırma sorunlarını ele alabilir.

Özel DNS sunucusu kurulumu

Dış sanal ağ modunda, Azure varsayılan olarak DNS 'yi yönetir. İsteğe bağlı olarak, özel bir DNS sunucusu yapılandırabilirsiniz. API Management hizmeti birçok Azure hizmetine bağlıdır. API Management, özel bir DNS sunucusu olan bir VNET 'te barındırılıyorsa, bu Azure hizmetlerinin ana bilgisayar adlarını çözmesi gerekir.

• Azure tarafından sunulan ana bilgisayar adları için iletme dahil olmak üzere özel DNS kurulumu hakkında yönergeler için bkz. Azure sanal ağlardaki kaynaklar Için ad çözümlemesi.
• Başvuru için, gerekli bağlantı noktaları ve ağ gereksinimleri bölümüne bakın.

Gerekli bağlantı noktaları

Gelen ve giden trafiği, API Management ağ güvenlik grubu kuralları kullanılarak dağıtıldığı alt ağda denetleyebilirsiniz. Belirli bağlantı noktaları kullanılamıyorsa API Management düzgün çalışmayabilir ve erişilemez hale gelebilir.

Bir API Management hizmet örneği bir sanal ağda barındırıldığı zaman, aşağıdaki tablodaki bağlantı noktaları kullanılır. Bazı gereksinimler, stv2 stv1 API Management örneğinizi barındıran işlem platformunun sürümüne (veya) bağlı olarak farklılık gösterir.

TLS işlevselliği

TLS/SSL sertifika zinciri oluşturma ve doğrulamayı etkinleştirmek için API Management hizmeti,, ve ile giden ağ bağlantısı ocsp.msocsp.com gerektirir mscrl.microsoft.com crl.microsoft.com . API Management 'e yüklediğiniz herhangi bir sertifika, CA köküne tam zinciri içeriyorsa bu bağımlılık gerekli değildir.

DNS erişimi

port 53DNS sunucularıyla iletişim için giden erişim gerekir. Bir VPN ağ geçidinin diğer ucunda özel bir DNS sunucusu varsa, DNS sunucusuna API Management barındıran alt ağdan erişilebilir olması gerekir.

Ölçümler ve sistem durumu izleme

Aşağıdaki etki alanları altında çözüm veren Azure Izleme uç noktalarına giden ağ bağlantısı, ağ güvenlik gruplarıyla kullanılmak üzere AzureMonitor Service etiketi altında temsil edilir.

Bölgesel hizmet etiketleri

Depolama, SQL ve Event Hubs hizmet etiketlerine giden bağlantı sağlayan NSG kuralları, API Management örneğini içeren bölgeye karşılık gelen bu etiketlerin bölgesel sürümlerini (örneğin, Depolama. Batı ABD bölgesinde API Management örneği için WestUS). Çok bölgeli dağıtımlarda, her bölgedeki NSG' nin ilgili bölge ve birincil bölge için hizmet etiketlerine gelen trafiğe izin vermesi gerekir.

SMTP geçişi

SMTP Geçişi için giden ağ bağlantısına izin ver; bu bağlantı, , , ve smtpi-co1.msn.com smtpi-ch1.msn.com ana bilgisayarı altında smtpi-db3.msn.com smtpi-sin.msn.com çözüler ies.global.microsoft.com

Geliştirici portalı CAPTCHA

Geliştirici portalının CAPTCHA'sı için ve konakları altında çözümlene giden ağ bağlantısına izin client.hip.live.com partner.hip.live.com ver.

Azure portal tanılama

Sanal ağdan API Management uzantısını kullanırken, tanılama günlüklerinin sanal ağdan akışını etkinleştirmek için üzerinde giden dc.services.visualstudio.com port 443 Azure portal. Bu erişim, uzantı kullanırken karşılaş olabileceğiniz sorunları gidermeye yardımcı olur.

Azure yük dengeleyici

Arkalarında yalnızca bir işlem birimi dağıtıldığından, SKU için hizmet etiketinden gelen isteklere AZURE_LOAD_BALANCER Developer izin vermeniz gerekmez. Ancak yük dengeleyiciden gelen trafik yoklama hatası, kontrol düzlemi ve veri düzlemi için tüm Gelen erişimi engellerken gibi daha yüksek bir SKU'ya ölçeklendirmede kritik hale AZURE_LOAD_BALANCER Premium gelir.

Application Insights

Azure Application Analizler'API Management etkinleştirdiyseniz, sanal ağdan telemetri uç noktasına giden bağlantılara izin verme.

KMS uç noktası

Sanal ağı çalıştıran sanal Windows eklerken, 1688 bağlantı noktası üzerinde bulut KMS bağlantı noktasına giden bağlantılara izin ver. Bu yapılandırma, vm Windows etkinleştirmeyi tamamlamak için Azure Key Management Services (KMS) sunucusuna Windows yönlendirmektedir.

ExpressRoute veya Ağ Sanal Gereç kullanarak trafiği şirket içi güvenlik duvarına zorlamalı tünel

Genellikle kendi varsayılan yollarınızı (0.0.0.0.0/0) yapılandırarak ve tanımlayarak API Management temsilci alt ağına ait tüm trafiğin şirket içi güvenlik duvarından veya bir ağ sanal ağına akmaya zorlarsanız. Giden trafik şirket içinde engellenmiş olduğundan veya NAT'ler artık çeşitli Azure uç noktalarıyla çalışmayan tanınmayan bir adres kümesine erişemelerinden bu trafik akışı Azure API Management ile bağlantının kopmalarına neden olur. Bu sorunu çözmek için birkaç yöntem kullanabilirsiniz:

• API Management hizmetinin dağıtılacağı alt ağda hizmet uç noktalarını etkinleştirin:

  • Azure SQL
  • Azure Depolama
  • Azure Event Hub
  • Azure Key Vault (v2 platformu)

  Uç noktaları doğrudan alt ağdan API Management hizmetlere etkinleştirerek, hizmet trafiği için en iyi yönlendirmeyi Microsoft Azure alt ağı kullanabilirsiniz. Hizmet uç noktalarını zorlamalı tünel oluşturulmuş bir API Management ile kullanıyorsanız, yukarıdaki Azure hizmetlerinin trafiği için zorlamalı tünel oluşturulmaz. Diğer API Management hizmeti bağımlılığının trafiği için zorlamalı tünel oluşturulur ve kaybedilemez. Kaybolursa, API Management düzgün çalışmaz.

• İnternet'den API Management hizmetinizin yönetim uç noktasına giden tüm kontrol düzlemi trafiği, API Management tarafından barındırılan belirli bir gelen IP'API Management. Trafik zorlamalı tünele alındıkça, yanıtlar bu gelen kaynak IP'lere simetrik olarak eşlanmaz. Sınırlamanın üstesinden gelmek için, trafiği Azure'a geri yönlendirmek için aşağıdaki kullanıcı tanımlı yolların(UDR)hedeflerini "İnternet" olarak ayarlayın. Denetim Düzlemi IP Adresleri altında belgelenmiş denetim düzlemi trafiği için gelen IP'ler kümesi bulun.

• Diğer zorlamalı tünel API Management hizmet bağımlılıkları için konak adını çözümle ve uç noktaya ulaş. Bu modüller şunlardır:

  • Ölçümler ve Sistem Durumu İzleme
  • Azure portal Tanılama
  • SMTP Geçişi
  • Geliştirici portalı CAPTCHA
  • Azure KMS sunucusu

Yönlendirme

• Sanal ağ dışındaki tüm hizmet uç noktalarına ve kaynaklara erişim sağlamak için yük dengeli bir genel IP adresi (VIP) ayrılmıştır.
  • Yük dengeli genel IP adresleri, yapılandırmanın Genel Bakış/Temel Bilgiler dikey penceresinde Azure portal.
• Sanal ağ içindeki kaynaklara erişmek için alt ağ IP aralığından (DIP) bir IP adresi kullanılır.

Denetim düzlemi IP adresleri

Aşağıdaki IP adresleri Azure Ortamına bölündü. Gelen isteklere izin verilirken, Bölgeye özgü IP adresiyle birlikte Genel ile işaretlenmiş IP adreslerine izin ver gerekir. Bazı durumlarda iki IP adresi listelenir. Her iki IP adresine de izin ver.

Sorun giderme

• Bir alt ağda API Management başarısız ilk dağıtım

  • Aynı alt ağda bir sanal makine dağıtın.
  • Bağlan makineye bağlanın ve Azure aboneliğinizin aşağıdaki kaynaklarından her biri ile bağlantının doğrulanması gerekir:
    • Azure Depolama blobu
    • Azure SQL Veritabanı
    • Azure Depolama Tablosu
    • Azure Key Vault (API Management barındırılan bir örnek stv2 için)

  Önemli

  Bağlantı doğrulandıktan sonra, alt ağda API Management dağıtmadan önce alt ağ içinde tüm kaynakları kaldırın (API Management platformda stv1 barındırıldıktan sonra gereklidir).

• Ağ bağlantısı durumunu doğrulama

  • Örneğinizi alt API Management dağıtın, örneğinizin Azure depolama gibi bağımlılıklara bağlantısını kontrol etmek için portalı Depolama.
  • Portalda, sol menüde, Dağıtım ve altyapı'nın altında Ağ bağlantısı durumu'seçin.

  

  Filtre	Açıklama
  Gerekli	Uygulama için gerekli Azure hizmetleri bağlantısını gözden geçirmeyi API Management. Hata, örneğin API'leri yönetmek için temel işlemleri gerçekleştirenem olduğunu gösterir.
  İsteğe bağlı	İsteğe bağlı hizmetler bağlantısını gözden geçirmek için seçin. Hata yalnızca belirli işlevselliğin çalışmay olduğunu gösterir (örneğin, SMTP). Hata, veri örneği kullanılarak ve izlenmesinde ve API Management SLA sağlanmasında düşüşe yol açabilir.

  Bağlantı sorunlarını gidermek için ağ yapılandırma ayarlarını gözden geçirin ve gerekli ağ ayarlarını düzeltin.

• Artımlı güncelleştirmeler
  Ağ üzerinde değişiklik yaparken Ağ Durumu API'sine başvurarak API Management kritik kaynaklara erişimi kaybetmedi. Bağlantı durumu her 15 dakikada bir güncelleştirilebilir.

• Kaynak gezinti bağlantıları
  İşlem stv1 platformundabarındırılan bir APIM örneği, sanal ağ alt Resource Manager dağıtıldığında bir kaynak gezinti bağlantısı oluşturarak alt ağı yedekler. Alt ağ zaten farklı bir sağlayıcıdan kaynak içeriyorsa, dağıtım başarısız olur. Benzer şekilde, bir API Management veya farklı bir alt ağya taşıyabilirsiniz, kaynak gezinti bağlantısı kaldırılır.

Sonraki adımlar

Aşağıdakiler hakkında daha fazla bilgi edinin:

• Sanal ağı arka ucu kullanarak VPN Gateway
• Farklı dağıtım modellerinden bir sanal ağı bağlama
• İstek izleme özelliğini kullanarak API’lerinizdeki hataları ayıklama
• Sanal Ağ hakkında sık sorulan sorular
• Hizmet etiketleri