Vue d’ensemble de la prise en charge du réseau virtuel Microsoft Azure

Note

La communauté Power Platform Réseau virtuel sur Microsoft Viva Engage est disponible. Publiez toutes les questions ou commentaires que vous avez sur cette fonctionnalité. Joignez-vous en remplissant une demande par le biais du formulaire suivant : Demandez l’accès à Finance and Operations Viva Engage Community.

En utilisant Réseau virtuel Azure (VNet) prise en charge de Power Platform, vous pouvez intégrer Power Platform à des ressources à l’intérieur de votre réseau virtuel sans les exposer sur l’Internet public. La prise en charge de VNet utilise la délégation de sous-réseau Azure pour gérer le trafic sortant depuis Power Platform lors de l’exécution. En utilisant Azure délégation de sous-réseau, les ressources protégées n'ont pas besoin d'être disponibles sur Internet pour s'intégrer à Power Platform. En utilisant la prise en charge du réseau virtuel, les composants Power Platform peuvent appeler des ressources appartenant à votre entreprise à l'intérieur de votre réseau, qu'elles soient hébergées dans Azure ou localement, et utiliser des plug-ins et des connecteurs pour effectuer des appels sortants.

Power Platform s’intègre généralement aux ressources d’entreprise sur les réseaux publics. Avec les réseaux publics, les ressources d’entreprise doivent être accessibles à partir d’une liste de plages d’adresses IP ou d’étiquettes de service Azure, qui décrivent les adresses IP publiques. Toutefois, la prise en charge de VNet pour Power Platform vous permet d’utiliser un réseau privé et de toujours vous intégrer à des services cloud ou à des services hébergés au sein de votre réseau d’entreprise.

Azure services sont protégés à l’intérieur d’un réseau virtuel par des points de terminaison privés. Vous pouvez utiliser ExpressRoute pour mettre vos ressources locales à l’intérieur du réseau virtuel.

Power Platform utilise le service de réseau virtuel et les sous-réseaux que vous déléguerez pour effectuer des appels sortants vers des ressources d’entreprise sur le réseau privé d’entreprise. En utilisant un réseau privé, vous n’avez pas besoin de router le trafic via l’Internet public, ce qui peut exposer des ressources d’entreprise.

Dans un réseau virtuel, vous avez un contrôle total sur le trafic sortant à partir de Power Platform. L’administrateur réseau applique des stratégies réseau au trafic. Le diagramme suivant montre comment les ressources de votre réseau interagissent avec un réseau virtuel.

Capture d’écran montrant comment les ressources d’un réseau d’entreprise interagissent avec un réseau virtuel.

Avantages de la prise en charge du réseau virtuel Azure

En utilisant la prise en charge de VNet, vos composants Power Platform et Dataverse bénéficient de tous les avantages offerts par la délégation de sous-réseau Azure, tels que :

  • Protection des données : la prise en charge du réseau virtuel permet aux services Power Platform de se connecter à vos ressources privées et protégées sans les exposer à Internet.

  • Aucun accès non autorisé : la prise en charge de VNet vous permet de vous connecter à vos ressources sans nécessiter de plages d’adresses IP de Power Platform ni de balises de service dans la connexion.

Estimation de la taille du sous-réseau pour les environnements Power Platform

Les données de télémétrie et les observations de l’année dernière indiquent que les environnements de production nécessitent généralement 25 à 30 adresses IP, la plupart des cas d’usage se trouvant dans cette plage. En fonction de ces informations, allouez 25 à 30 adresses IP pour les environnements de production et 6 à 10 adresses IP pour les environnements hors production, tels que le bac à sable ou les environnements de développement. Les conteneurs connectés au réseau virtuel utilisent principalement des adresses IP au sein du sous-réseau. Lorsque l’environnement commence à être utilisé, il crée un minimum de quatre conteneurs, qui sont mis à l’échelle dynamiquement en fonction du volume d’appels, bien qu’ils restent généralement dans la plage de conteneurs de 10 à 30. Ces conteneurs exécutent toutes les requêtes pour leurs environnements respectifs et gèrent efficacement les demandes de connexion parallèles.

Planification de plusieurs environnements

Si vous utilisez le même sous-réseau délégué pour plusieurs environnements Power Platform, vous aurez peut-être besoin d’un plus grand bloc d’adresses IP de routage inter-domaines sans classe (CIDR). Tenez compte du nombre recommandé d’adresses IP pour les environnements de production et de non-production lorsque vous liez des environnements à une stratégie unique. Chaque sous-réseau réserve cinq adresses IP. Incluez donc ces adresses réservées dans votre estimation.

Note

Pour améliorer la visibilité de l’utilisation des ressources, l’équipe produit travaille sur l’exposition de la consommation d’adresses IP de sous-réseau déléguées pour les stratégies d’entreprise et les sous-réseaux.

Exemple d’allocation IP

Prenons l’exemple d’un client avec deux stratégies d’entreprise. La première stratégie concerne les environnements de production, et la deuxième stratégie concerne les environnements hors production.

Politique d’entreprise de production

Si vous avez quatre environnements de production associés à votre stratégie d’entreprise et que chaque environnement nécessite 30 adresses IP, l’allocation d’adresses IP totale est la suivante :

(Quatre environnements x 30 adresses IP) + 5 adresses IP réservées = 125 adresses IP

Ce scénario nécessite un bloc CIDR de /25, d’une capacité de 128 adresses IP.

Stratégie d’entreprise hors production

Pour une stratégie d’entreprise hors production avec 20 environnements de développeur et de bac à sable, et chaque environnement nécessite 10 adresses IP, l’allocation d’adresses IP totale est :

(Vingt environnements x 10 adresses IP) + 5 adresses IP réservées = 205 adresses IP

Ce scénario nécessite un bloc CIDR de /24, qui a la capacité de 256 adresses IP et a suffisamment d’espace pour ajouter d’autres environnements à la stratégie d’entreprise.

Scénarios pris en charge

Power Platform prend en charge le réseau virtuel pour les plug-ins Dataverse et les connecteurs. À l’aide de cette prise en charge, vous pouvez créer une connectivité sécurisée, privée et sortante de Power Platform vers des ressources au sein de votre réseau virtuel. Les plug-ins et connecteurs Dataverse améliorent la sécurité de l’intégration des données en se connectant à des sources de données externes à partir de Power Apps, de Power Automate et d’applications Dynamics 365. Par exemple, vous pouvez :

  • Utilisez des plug-ins Dataverse pour vous connecter à vos sources de données cloud, telles que Azure SQL, stockage Azure, stockage d’objets blob ou Azure Key Vault. Vous pouvez protéger vos données contre l’exfiltration de données et autres incidents.
  • Utilisez des plug-ins Dataverse pour vous connecter en toute sécurité à des ressources privées protégées par point de terminaison dans Azure, telles que l’API web ou toutes les ressources au sein de votre réseau privé, telles que SQL et l’API web. Vous pouvez protéger vos données contre les violations de données et autres menaces externes.
  • Utilisez des connecteurs pris en charge par le réseau virtuel tels que SQL Server pour vous connecter en toute sécurité à vos sources de données hébergées dans le cloud, telles que Azure SQL ou SQL Server, sans les exposer à Internet. De la même manière, vous pouvez utiliser le connecteur Azure Queue pour établir des connexions sécurisées aux files d’attente Azure privées activées pour les points de terminaison.
  • Utilisez Azure Key Vault connecteur pour se connecter en toute sécurité à un Azure Key Vault privé protégé par point de terminaison.
  • Utilisez des connecteurs customes pour vous connecter en toute sécurité à vos services protégés par des points de terminaison privés dans Azure ou des services hébergés dans votre réseau privé.
  • Utilisez Azure Stockage de fichiers pour vous connecter en toute sécurité au stockage de fichiers Azure privé activé pour les points de terminaison.
  • Utilisez HTTP avec Microsoft Entra ID (préautorisé) pour extraire en toute sécurité des ressources sur des réseaux virtuels à partir de différents services web, authentifiés par Microsoft Entra ID ou à partir d’un service web local.

Limitations

  • Les plug-ins dataverse à faible code qui utilisent des connecteurs ne sont pas pris en charge tant que ces types de connecteurs ne sont pas mis à jour pour utiliser la délégation de sous-réseau.
  • Vous utilisez des opérations de copie, de sauvegarde et de restauration du cycle de vie de l’environnement dans les environnements Power Platform pris en charge par le réseau virtuel. Vous pouvez effectuer l’opération de restauration au sein du même réseau virtuel et dans différents environnements, à condition qu’elles soient connectées au même réseau virtuel. De plus, l’opération de restauration est autorisée depuis les environnements qui ne prennent pas en charge les réseaux virtuels jusqu’à ceux qui les prennent en charge.

Régions prises en charge

Avant de créer votre réseau virtuel et votre stratégie d’entreprise, validez la région de votre environnement Power Platform pour vous assurer qu’elle se trouve dans une région prise en charge. Utilisez l’applet Get-EnvironmentRegion de commande à partir du module PowerShell des diagnostics de sous-réseau pour récupérer les informations de région de votre environnement.

Après avoir confirmé la région de votre environnement, vérifiez que vous configurez votre stratégie d'entreprise et Azure ressources dans les régions Azure prises en charge correspondantes. Par exemple, si votre environnement Power Platform se trouve au Royaume-Uni, votre réseau virtuel et vos sous-réseaux doivent se trouver dans les régions uksouth et ukwest Azure. Si une région Power Platform comporte plus de deux paires de régions disponibles, vous devez utiliser la paire de régions spécifique qui correspond à la région de votre environnement. Par exemple, si Get-EnvironmentRegion retourne westus pour votre environnement, votre réseau virtuel et vos sous-réseaux doivent se trouver dans eastus et westus.

Région Power Platform Région Azure
États-Unis eastus, westus
Afrique du Sud Afrique du Sud Nord, Afrique du Sud Ouest
ROYAUME-UNI uksouth, ukwest
Japon japon-est, japon-ouest
India Inde centrale, Inde du Sud
France francecentral, francesouth
Europe Europe de l'Ouest, Europe du Nord
Allemagne allemagne-nord, allemagne-centre-ouest
Suisse suisse du nord, suisse de l'ouest
Canada centreducanada, estducanada
Brésil brazilsouth
Australia sud-est australien, est australien
Asia eastasia, sud-estasia
Émirats arabes unis uaenorth
Corée koreasouth, koreacentral
Norvège norvège-ouest, norvège-est
Singapour southeastasia
Suède swedencentral
Italie italynorth
Gouvernement américain usgovtexas, usgovvirginia

Note

La prise en charge dans les environnements cloud du gouvernement américain n’est actuellement disponible que pour les environnements déployés dans le cloud de la communauté gouvernementale – High (GCC High) ou le ministère de la Défense (DoD). La prise en charge des environnements GCC (Government Community Cloud) n’est pas disponible.

Services pris en charge

Le tableau suivant répertorie les services qui prennent en charge la délégation de sous-réseau Azure pour la prise en charge du réseau virtuel (VNet) pour Power Platform.

Domaine Services Power Platform Disponibilité de la prise en charge de VNet
Dataverse Plug-ins Dataverse Généralement disponible
Connecteurs Généralement disponible
Connecteurs Généralement disponible

Environnements pris en charge

La prise en charge de VNet pour Power Platform n’est pas disponible pour tous les environnements Power Platform. Le tableau suivant répertorie les types d’environnement qui prennent en charge le réseau virtuel.

Type d’environnement Supported
Production Oui
Default Oui
Bac à sable Oui
Développeur Oui
Essai Non
Microsoft Dataverse pour Teams Non

Considérations relatives à l’activation de la prise en charge de VNet pour l’environnement Power Platform

Lorsque vous utilisez la prise en charge du réseau virtuel dans un environnement Power Platform, tous les services pris en charge, tels que les plug-ins et les connecteurs Dataverse, exécutent des demandes au moment de l’exécution dans votre sous-réseau délégué et sont soumis à vos stratégies réseau. Les appels aux ressources accessibles au public commencent à échouer.

Important

Avant d’activer la prise en charge de l’environnement virtuel pour un environnement Power Platform, vérifiez le code des plug-ins et des connecteurs. Mettez à jour les URL et les connexions pour qu’elles fonctionnent avec une connectivité privée.

Par exemple, un plug-in peut essayer de se connecter à un service disponible publiquement, mais votre stratégie réseau n’autorise pas l’accès Internet public au sein de votre réseau virtuel. La stratégie réseau bloque l’appel à partir du plug-in. Pour éviter l’appel bloqué, vous pouvez héberger le service disponible publiquement dans votre réseau virtuel. Sinon, si votre service est hébergé dans Azure, vous pouvez utiliser un point de terminaison privé sur le service avant d’activer la prise en charge du réseau virtuel dans l’environnement Power Platform.

Questions fréquemment posées

Quelle est la différence entre une passerelle de données de réseau virtuel et la prise en charge du réseau virtuel dans Power Platform ?

Une passerelle de données de réseau virtuel est une passerelle managée que vous utilisez pour accéder aux services Azure et Power Platform à partir de votre réseau virtuel sans avoir à configurer une passerelle de données locale. Par exemple, la passerelle est optimisée pour les charges de travail ETL (extraire, transformer, charger) dans les flux de données Power BI et Power Platform.

La prise en charge d’Azure VNet pour Power Platform utilise une délégation de sous-réseau dans Azure pour votre environnement Power Platform. Les sous-réseaux sont utilisés par les charges de travail dans l’environnement Power Platform. Les charges de travail de l’API Power Platform bénéficient de la prise en charge du réseau virtuel (VNet), car les requêtes sont de courte durée et optimisées pour traiter un grand nombre de requêtes.

Dans quels scénarios dois-je utiliser la prise en charge de VNet pour Power Platform et la passerelle de données de réseau virtuel ?

La prise en charge du réseau virtuel pour Power Platform est la seule option prise en charge pour tous les scénarios de connectivité sortante à partir de Power Platform, à l’exception des flux de données Power BI et Power Platform.

Power BI et les dataflows Power Platform continuent d’utiliser la passerelle de données de réseau virtuel (VNet).

Comment pouvez-vous garantir qu’un sous-réseau du réseau virtuel ou une passerelle de données d’un client n’est pas utilisé par un autre client dans Power Platform ?

  • La prise en charge de VNet pour Power Platform utilise la délégation de sous-réseau Azure.

  • Chaque environnement Power Platform est lié à un sous-réseau du réseau virtuel. Seuls les appels depuis cet environnement sont autorisés à accéder à ce réseau virtuel.

  • La délégation vous permet de désigner un sous-réseau spécifique pour n’importe quel Azure platform as a service (PaaS) qui doit être injecté dans votre réseau virtuel.

VNet prend-il en charge le basculement pour Power Platform ?

Oui, vous devez déléguer les réseaux virtuels pour les deux régions Azure associées à votre région Power Platform. Par exemple, si votre environnement Power Platform se trouve au Canada, vous devez créer, déléguer et configurer des réseaux virtuels dans CanadaCentral et CanadaEast.

Comment un environnement Power Platform dans une région peut-il se connecter à des ressources hébergées dans une autre région ?

Un réseau virtuel lié à un environnement Power Platform doit résider dans la région de l’environnement Power Platform. Si le réseau virtuel se trouve dans une autre région, créez un réseau virtuel dans la région de l’environnement Power Platform et utilisez l’appairage de réseaux virtuels sur les deux réseaux virtuels à sous-réseaux délégués des deux régions Azure pour relier le réseau virtuel situé dans l’autre région.

Puis-je surveiller le trafic sortant des sous-réseaux délégués ?

Yes. Vous pouvez utiliser un groupe de sécurité réseau et des pare-feu pour surveiller le trafic sortant à partir de sous-réseaux délégués. Pour plus d’informations, consultez Monitor Réseau virtuel Azure.

Puis-je effectuer des appels internet à partir de plug-ins ou de connecteurs une fois que mon environnement est délégué par sous-réseau ?

Yes. L’accès lié à Internet est disponible par défaut à partir de plug-ins et de connecteurs dans un environnement délégué par sous-réseau. Attachez une passerelle NAT Azure au sous-réseau délégué afin que votre organisation puisse contrôler et sécuriser l’accès sortant. Pour plus d’informations, consultez les meilleures pratiques pour sécuriser les connexions sortantes à partir des services Power Platform.

Puis-je mettre à jour la plage d’adresses IP du sous-réseau après qu’elle a été déléguée à Microsoft.PowerPlatform/enterprisePolicies ?

Non, pas tant que la fonctionnalité est utilisée dans votre environnement. Vous ne pouvez pas modifier la plage d’adresses IP du sous-réseau après sa délégation à "Microsoft.PowerPlatform/enterprisePolicies." Si vous modifiez la plage d’adresses IP, la configuration de délégation est rompue et l’environnement cesse de fonctionner. Pour modifier la plage d’adresses IP, utilisez Disable-SubnetInjection, apportez les modifications nécessaires, puis activez la fonctionnalité pour votre environnement.

Puis-je mettre à jour l’adresse DNS de mon réseau virtuel après l’avoir délégué à Microsoft.PowerPlatform/enterprisePolicies ?

Non, pas tant que la fonctionnalité est utilisée dans votre environnement. Vous ne pouvez pas modifier l'adresse DNS du réseau virtuel après qu'il a été délégué à Microsoft.PowerPlatform/enterprisePolicies. Si vous modifiez l’adresse DNS, la modification n’est pas récupérée dans la configuration et votre environnement peut cesser de fonctionner. Pour modifier l’adresse DNS, utilisez Disable-SubnetInjection pour dissocier tous vos environnements de la stratégie, apportez les mises à jour nécessaires à votre réseau virtuel, attendez 30 minutes pour vous assurer que vos modifications sont propagées, puis réactivez l’injection de sous-réseau à l’aide de Enable-SubnetInjection.

Puis-je utiliser la même stratégie d’entreprise pour plusieurs environnements Power Platform ?

Yes. Vous pouvez utiliser la même stratégie d’entreprise pour plusieurs environnements Power Platform. Cependant, il existe une limitation : les environnements du cycle de lancement anticipé ne peuvent pas être utilisés avec la même stratégie d’entreprise que d’autres environnements.

Mon réseau virtuel a un DNS personnalisé configuré. Power Platform utilise-t-il mon DNS personnalisé ?

Yes. Power Platform utilise le DNS personnalisé que vous configurez dans le réseau virtuel qui contient le sous-réseau délégué pour résoudre tous les points de terminaison. Après avoir délégué l’environnement, vous pouvez mettre à jour les plug-ins pour utiliser le point de terminaison approprié afin que votre DNS personnalisé puisse les résoudre.

Mon environnement a des plug-ins fournis par ISV. Ces plug-ins s’exécutent-ils dans le sous-réseau délégué ?

Yes. Tous les plug-ins clients et les plug-ins ISV peuvent s’exécuter à l’aide de votre sous-réseau. Si les plug-ins ISV disposent d’une connectivité sortante, vous devrez peut-être répertorier ces URL dans votre pare-feu.

Les certificats TLS de mon point de terminaison local ne sont pas signés par des autorités de certification racine (CA) connues. Prenez-vous en charge les certificats inconnus ?

Non. Power Platform nécessite que le point de terminaison présente un certificat TLS avec la chaîne complète. Vous ne pouvez pas ajouter votre autorité de certification racine personnalisée à la liste des autorités de certification connues.

Power Platform ne recommande aucune topologie spécifique. Toutefois, les clients utilisent largement la topologie de réseau hub-spoke dans Azure.

La liaison d’un abonnement Azure à mon locataire Power Platform est-elle nécessaire pour activer la prise en charge du réseau virtuel ?

Oui, pour activer la prise en charge du réseau virtuel pour les environnements Power Platform, vous devez associer un abonnement Azure au locataire Power Platform.

Comment Power Platform utilise-t-il la délégation de sous-réseau d'Azure ?

Lorsque vous affectez un sous-réseau délégué Azure à un environnement Power Platform, il utilise l’injection de réseau virtuel pour injecter le conteneur au moment de l’exécution dans le sous-réseau délégué. Pendant ce processus, la carte d’interface réseau du conteneur obtient une adresse IP à partir du sous-réseau délégué. L’hôte (Power Platform) et le conteneur communiquent via un port local sur le conteneur, et le trafic transite sur Azure Fabric.

Puis-je utiliser un réseau virtuel existant pour Power Platform ?

Oui, vous pouvez utiliser un réseau virtuel existant pour Power Platform, si vous délèguez un seul sous-réseau au sein du réseau virtuel spécifiquement à Power Platform. Vous devez réserver le sous-réseau délégué à la délégation de sous-réseau et ne pouvez pas l’utiliser à d’autres fins.

Puis-je réutiliser le même sous-réseau délégué dans plusieurs stratégies d’entreprise ?

Non. Vous ne pouvez pas réutiliser le même sous-réseau dans plusieurs stratégies d’entreprise. Chaque stratégie d’entreprise Power Platform doit avoir son propre sous-réseau unique pour la délégation.

Qu’est-ce qu’un plug-in Dataverse ?

Un plug-in Dataverse est un élément de code personnalisé que vous pouvez déployer dans un environnement Power Platform. Vous pouvez configurer ce plug-in pour qu’il s’exécute pendant les événements (par exemple, une modification des données) ou le déclencher en tant qu’API personnalisée. Pour plus d’informations, consultez les plug-ins Dataverse.

Comment s’exécute un plug-in Dataverse ?

Un plug-in Dataverse s’exécute dans un conteneur. Lorsque vous affectez un sous-réseau délégué à un environnement Power Platform, la carte d’interface réseau du conteneur obtient une adresse IP à partir de l’espace d’adressage de ce sous-réseau. L’hôte (Power Platform) et le conteneur communiquent via un port local sur le conteneur, et le trafic transite sur Azure Fabric.

Plusieurs plug-ins peuvent-ils s’exécuter dans le même conteneur ?

Yes. Dans un environnement Power Platform ou Dataverse donné, plusieurs plug-ins peuvent s’exécuter dans le même conteneur. Chaque conteneur utilise une adresse IP à partir de l’espace d’adressage du sous-réseau, et chaque conteneur peut exécuter plusieurs requêtes.

Comment l’infrastructure gère-t-elle une augmentation des exécutions de plug-in simultanées ?

À mesure que le nombre d’exécutions de plug-in simultanées augmente, l’infrastructure augmente automatiquement ou s’adapte à la charge. Le sous-réseau délégué à un environnement Power Platform doit disposer de suffisamment d’espaces d’adressage pour gérer le volume maximal d’exécutions pour les charges de travail dans cet environnement Power Platform.

Qui contrôle le réseau virtuel et les stratégies réseau associées ?

Vous avez la propriété et le contrôle sur le réseau virtuel et ses stratégies de réseau associées. En revanche, Power Platform utilise les adresses IP allouées à partir du sous-réseau délégué au sein de ce réseau virtuel.

Les plug-ins compatibles avec Azure prennent-ils en charge les réseaux virtuels (VNet) ?

Non, les plug-ins prenant en charge Azure ne prennent pas en charge le réseau virtuel.

Étapes suivantes

Configurer la prise en charge de VNet

Contenu connexe

Résoudre les problèmes de réseau virtuel

  • Last updated on