Publier et protéger des API s’exécutant sur des machines virtuelles Azure VMware Solution

Gestion des API Microsoft Azure vous permet de publier en toute sécurité sur des consommateurs externes ou internes. Seules les références SKU Développeur (développement) et Premium (production) permettent à l’intégration du réseau virtuel Azure de publier des API qui s’exécutent sur des charges de travail Azure VMware Solution. En outre, les deux références SKU permettent la connectivité entre le service Gestion des API et le back-end.

La configuration gestion des API est la même pour les services principaux qui s’exécutent sur des machines virtuelles Azure VMware Solution et localement. Gestion des API configure également l’adresse IP virtuelle sur l’équilibreur de charge en tant que point de terminaison principal pour les deux déploiements lorsque le serveur principal est placé derrière un équilibreur de charge NSX sur Azure VMware Solution.

Déploiement externe

Un déploiement externe publie des API consommées par des utilisateurs externes qui utilisent un point de terminaison public. Les développeurs et les ingénieurs DevOps peuvent gérer les API via le portail Azure ou PowerShell et le portail des développeurs Gestion des API.

Le diagramme de déploiement externe montre l’ensemble du processus et les acteurs impliqués (illustrés en haut). Les acteurs sont les suivants :

• Administrateur(s) : Représente l’équipe administrateur ou DevOps, qui gère Azure VMware Solution via le portail Azure et les mécanismes d’automatisation comme PowerShell ou Azure DevOps.

• Utilisateurs: Représente les consommateurs des API exposées et représente les utilisateurs et les services qui consomment les API.

Le flux de trafic passe par l’instance Gestion des API, qui extrait les services principaux, connecté au réseau virtuel hub. La passerelle ExpressRoute achemine le trafic vers la connexion ExpressRoute Global Reach et atteint un équilibreur de charge NSX distribuant le trafic entrant aux différentes instances de service back-end.

Gestion des API dispose d’une API publique Azure et l’activation du service Azure DDoS Protection est recommandée.

Déploiement interne

Un déploiement interne publie des API consommées par des utilisateurs ou des systèmes internes. Les équipes DevOps et les développeurs d’API utilisent les mêmes outils de gestion et portail des développeurs que dans le déploiement externe.

Utilisez Azure Application Gateway pour les déploiements internes pour créer un point de terminaison public et sécurisé pour l’API. Les fonctionnalités de la passerelle sont utilisées pour créer un déploiement hybride qui active différents scénarios.

• Utilisez la même ressource Gestion des API pour la consommation par les consommateurs internes et externes.

• Disposer d’une seule ressource Gestion des API avec un sous-ensemble d’API définies et disponibles pour les consommateurs externes.

• Fournissez un moyen simple pour activer et désactiver l’accès à la Gestion des API à partir de l’Internet public.

Le diagramme de déploiement suivant montre les consommateurs qui peuvent être internes ou externes, avec chaque type accédant aux mêmes API ou différentes.

Dans un déploiement interne, les API sont exposées à la même instance gestion des API. Devant Gestion des API, Application Gateway est déployé avec la capacité Azure Web Application Firewall (WAF) activée. Également déployé, un ensemble d’écouteurs et de règles HTTP pour filtrer le trafic, exposant uniquement un sous-ensemble des services back-end s’exécutant sur Azure VMware Solution.

• Le trafic interne est acheminé par la passerelle ExpressRoute vers le Pare-feu Azure, puis vers Gestion des API, directement ou via des règles de trafic.

• Le trafic externe entre dans Azure via Application Gateway, qui utilise la couche de protection externe pour gestion des API.