Informations de référence sur la configuration de réseau virtuel : Gestion des API
S’APPLIQUE À : Développeur | Premium
Cette référence fournit des paramètres de configuration réseau détaillés pour une instance de Gestion des API déployée (injectée) dans un réseau virtuel Azure en mode externe ou interne.
Pour connaître les options de connectivité, les conditions requises et les considérations liées aux réseaux virtuels, consultez Utilisation d’un réseau virtuel avec Gestion des API Azure.
Ports nécessaires
Contrôlez le trafic entrant et sortant dans le sous-réseau dans lequel Gestion des API est déployée à l’aide de règles de groupe de sécurité réseau. Si certains ports ne sont pas disponibles, Gestion des API risque de ne pas fonctionner correctement et d’être inaccessible.
Quand une instance de service Gestion des API est hébergée dans un réseau virtuel, les ports du tableau suivant sont utilisés. Certaines conditions varient en fonction de la version (stv2 ou stv1) de la stv2 qui héberge votre instance Gestion des API.
Important
Les éléments en gras dans la colonne Objectif indiquent les configurations de port requises pour que le déploiement et l’exécution du service Gestion des API réussissent. Les configurations étiquetées « facultatif » activent des fonctionnalités spécifiques, comme indiqué. Elles ne sont pas requises pour l’intégrité globale du service.
Nous vous recommandons d’utiliser les balises de service indiquées au lieu d’adresses IP dans le groupe de sécurité réseau et d’autres règles réseau pour spécifier des sources et des destinations réseau. Les étiquettes de service évitent les temps d’arrêt lorsque des améliorations de l’infrastructure nécessitent des modifications d’adresses IP.
Important
Lorsque vous utilisez stv2, il est nécessaire d’affecter un groupe de sécurité réseau à votre commutateur virtuel (VNet) pour que Azure Load Balancer fonctionne. Pour plus d’informations, consultez la documentation Azure Load Balancer.
| Port(s) source / de destination | Sens | Protocole de transfert | Balises de service Source / Destination |
Objectif | Type de réseau virtuel |
|---|---|---|---|---|---|
| * / [80], 443 | Trafic entrant | TCP | Internet / Réseau virtuel | Communication client avec Gestion des API | Externe uniquement |
| * / 3443 | Trafic entrant | TCP | ApiManagement / VirtualNetwork | Point de terminaison de gestion pour le Portail Azure et PowerShell | Externe et interne |
| * / 443 | Règle de trafic sortant | TCP | VirtualNetwork / Stockage | Dépendance sur le Stockage Azure | Externe et interne |
| * / 443 | Règle de trafic sortant | TCP | VirtualNetwork / AzureActiveDirectory | Dépendance Microsoft Entra ID, Microsoft Graph et Azure Key Vault (facultatif) | Externe et interne |
| * / 443 | Règle de trafic sortant | TCP | VirtualNetwork / AzureConnectors | Dépendance de connexions managées (facultatif) | Externe et interne |
| * / 1433 | Règle de trafic sortant | TCP | VirtualNetwork / Sql | Accès aux points de terminaison de SQL Azure | Externe et interne |
| * / 443 | Règle de trafic sortant | TCP | VirtualNetwork / AzureKeyVault | Accès à Azure Key Vault | Externe et interne |
| * / 5671, 5672, 443 | Règle de trafic sortant | TCP | VirtualNetwork / EventHub | Dépendance pour la stratégie Journaliser dans Azure Event Hubs et Azure Monitor (facultatif) | Externe et interne |
| * / 445 | Règle de trafic sortant | TCP | VirtualNetwork / Stockage | Dépendance envers Partage de fichiers Azure pour GIT (facultatif) | Externe et interne |
| * / 1886, 443 | Règle de trafic sortant | TCP | VirtualNetwork / AzureMonitor | Publier les journaux de diagnostic et les métriques, Resource Health et Application Insights | Externe et interne |
| * / 6380 | Trafic entrant et sortant | TCP | VirtualNetwork / VirtualNetwork | Accéder au service Azure Cache pour Redis externe pour la mise en cache des stratégies entre machines (facultatif) | Externe et interne |
| * / 6381 - 6383 | Trafic entrant et sortant | TCP | VirtualNetwork / VirtualNetwork | Accéder au service Azure Cache pour Redis interne pour la mise en cache des stratégies entre machines (facultatif) | Externe et interne |
| * / 4290 | Trafic entrant et sortant | UDP | VirtualNetwork / VirtualNetwork | Compteurs de synchronisation pour les stratégies de limite de débit entre machines (facultatif) | Externe et interne |
| * / 6390 | Trafic entrant | TCP | AzureLoadBalancer / VirtualNetwork | Équilibrage de charge de l’infrastructure Azure | Externe et interne |
| * / 443 | Trafic entrant | TCP | AzureTrafficManager / VirtualNetwork | Routage Azure Traffic Manager pour le déploiement multirégional | Externe |
| * / 6391 | Trafic entrant | TCP | AzureLoadBalancer / VirtualNetwork | Surveillance de l’intégrité de l’ordinateur individuel (facultatif) | Externe et interne |
Étiquettes de service régional
Les règles NSG autorisant une connectivité sortante aux étiquettes de service Stockage, SQL et Azure Event Hubs peuvent utiliser les versions régionales de ces étiquettes correspondant à la région contenant l’instance de Gestion des API (par exemple Storage.WestUS pour une instance de Gestion des API dans la région USA Ouest). Dans les déploiements dans plusieurs régions, le groupe de sécurité réseau de chaque région doit autoriser le trafic vers les balises de service pour cette région ainsi que pour la région primaire.
Fonctionnalités TLS
Pour activer la génération et la validation de la chaîne de certificats TLS/SSL, le service Gestion des API a besoin d’une connectivité réseau sortante sur les ports 80 et 443 vers ocsp.msocsp.com, oneocsp.msocsp.com, mscrl.microsoft.com, crl.microsoft.com et csp.digicert.com. Cette dépendance n’est pas obligatoire si l’un des certificats que vous chargez dans Gestion des API contient la totalité de la chaîne permettant d’accéder à la racine de l’autorité de certification.
Accès DNS
L’accès sortant sur le port 53 est nécessaire pour la communication avec des serveurs DNS. S'il existe un serveur DNS personnalisé à l'autre extrémité d'une passerelle VPN, le serveur DNS doit être accessible depuis le sous-réseau hébergeant la gestion de l’API.
Intégration de Microsoft Entra
Pour fonctionner correctement, le service API Management a besoin d’une connectivité sortante sur le port 443 vers les points de terminaison suivants associés à Microsoft Entra ID : <region>.login.microsoft.com et login.microsoftonline.com.
Métriques et supervision de l’intégrité
La connectivité réseau sortante aux points de terminaison de monitoring Azure, qui sont résolus sous les domaines suivants, est représentée sous l’étiquette de service AzureMonitor pour une utilisation avec des groupes de sécurité réseau.
| Environnement Azure | Points de terminaison |
|---|---|
| Azure (public) |
|
| Azure Government |
|
| Microsoft Azure géré par 21Vianet |
|
CAPTCHA du portail des développeurs
Autorisez la connectivité réseau sortante pour le CAPTCHA du portail des développeurs, qui se résout sous les hôtes client.hip.live.com et partner.hip.live.com.
Publication du portail des développeurs
Pour activer la publication du portail des développeurs pour une instance de Gestion des API dans un réseau virtuel, autorisez la connectivité sortante vers le stockage d’objets blob dans la région USA Ouest. Par exemple, utilisez la balise de service Storage.WestUS dans une règle NSG. La connectivité au Stockage Blob dans la région USA Ouest est actuellement obligatoire pour publier le portail des développeurs pour toutes les instances de Gestion des API.
Diagnostics du portail Azure
Lors de l’utilisation de l’extension de diagnostics Gestion des API à partir d’un réseau virtuel, un accès sortant vers dc.services.visualstudio.com sur le port 443 est obligatoire pour activer le flux des journaux de diagnostic à partir du portail Azure. Cet accès contribue à la résolution des problèmes que vous pouvez rencontrer lors de l’utilisation de l’extension.
Équilibrage de charge Azure
Vous n’êtes pas obligé d’autoriser les requêtes entrantes de l’étiquette de service AzureLoadBalancer pour la référence SKU Développeur, car une seule unité Compute est déployée derrière elle. Toutefois, la connectivité entrante à partir de AzureLoadBalancer devient critique lors de la mise à l’échelle vers une référence SKU supérieure, par exemple Premium, car en cas de défaillance de la sonde d’intégrité de l’équilibreur de charge, tout accès entrant au plan de contrôle et au plan de données est bloqué.
Application Insights
Si vous avez activé le monitoring Azure Application Insights sur Gestion des API, autorisez la connectivité sortante vers le point de terminaison de télémétrie à partir du réseau virtuel.
Point de terminaison KMS
Quand vous ajoutez des machines virtuelles exécutant Windows au réseau virtuel, autorisez la connectivité sortante sur le port 1688 vers le point de terminaison KMS dans votre cloud. Cette configuration route le trafic des machines virtuelles Windows vers le serveur du service de gestion de clés (KMS, Key Management Services) Azure pour effectuer l’activation de Windows.
Infrastructure interne et diagnostics
Les paramètres et noms de domaine complets suivants sont requis pour gérer et diagnostiquer l’infrastructure de calcul interne de Gestion des API.
- Autoriser l’accès UDP sortant sur le port
123pour NTP. - Autoriser l’accès TCP sortant sur le port
12000pour les diagnostics. - Autoriser l’accès sortant sur le port
443vers les points de terminaison suivants pour les diagnostics internes :azurewatsonanalysis-prod.core.windows.net,*.data.microsoft.com,azureprofiler.trafficmanager.net,shavamanifestazurecdnprod1.azureedge.net,shavamanifestcdnprod1.azureedge.net. - Autoriser l’accès sortant sur le port
443vers le point de terminaison suivant pour l’infrastructure à clé publique (PKI) interne :issuer.pki.azure.com. - Autoriser l’accès sortant sur les ports
80et443vers les points de terminaison suivants pour Windows Update :*.update.microsoft.com,*.ctldl.windowsupdate.com,ctldl.windowsupdate.com,download.windowsupdate.com. - Autorisez l’accès sortant sur les ports
80et443vers le point de terminaisongo.microsoft.com. - Autoriser l’accès sortant sur le port
443vers les points de terminaison suivants pour Windows Defender :wdcp.microsoft.com,wdcpalt.microsoft.com.
Adresses IP du plan de contrôle
Important
Les adresses IP du plan de contrôle pour Azure Gestion des API doivent être configurées pour les règles d’accès réseau uniquement si nécessaire dans certains scénarios de mise en réseau. Nous vous recommandons d’utiliser la balise de service ApiManagement au lieu des adresses IP du plan de contrôle pour éviter les temps d’arrêt lorsque les améliorations apportées à l’infrastructure nécessitent des modifications d’adresses IP.
Contenu connexe
Pour en savoir plus :
- Connexion d’un réseau virtuel à un back-end à l’aide de la passerelle VPN
- Connexion d’un réseau virtuel à partir de modèles de déploiement différents
- Questions fréquentes (FAQ) sur les réseaux virtuels
- Balises de service
Pour plus d’informations sur les problèmes de configuration, consultez :