Bagikan melalui

Manajemen API terfederasi dengan ruang kerja

BERLAKU UNTUK: Premium

Artikel ini memberikan gambaran umum tentang ruang kerja API Management dan bagaimana mereka memberdayakan tim pengembangan API terdesentralisasi untuk mengelola dan mengolah API mereka dalam infrastruktur layanan umum.

Mengapa organisasi harus menggabungkan manajemen API?

Saat ini, organisasi semakin menghadapi tantangan dalam mengelola proliferasi API. Seiring bertambahnya jumlah API dan tim pengembangan API, begitu juga kompleksitas pengelolaannya. Kompleksitas ini dapat menyebabkan peningkatan overhead operasional, risiko keamanan, dan mengurangi kelincahan. Di satu sisi, organisasi ingin membuat infrastruktur API terpusat untuk memastikan tata kelola API, keamanan, dan kepatuhan. Di sisi lain, mereka ingin tim API mereka berinovasi dan merespons kebutuhan bisnis dengan cepat, tanpa overhead mengelola platform API.

Model federasi manajemen API memenuhi kebutuhan ini. Manajemen API federasi memungkinkan manajemen API terdesentralisasi oleh tim pengembangan dengan isolasi kontrol dan sarana data yang sesuai, sambil mempertahankan tata kelola, pemantauan, dan penemuan API terpusat yang dikelola oleh tim platform API. Model ini mengatasi keterbatasan pendekatan alternatif seperti manajemen API yang sepenuhnya terpusat oleh tim platform atau manajemen API yang di-siloed oleh setiap tim pengembangan.

Manajemen API federasi menyediakan:

  • Tata kelola dan pengamatan API terpusat
  • Portal pengembang terpadu untuk penemuan dan onboarding API yang efektif
  • Izin administratif yang dipisahkan antara tim API, meningkatkan produktivitas dan keamanan
  • Runtime API yang dipisahkan antara tim API, meningkatkan keandalan, ketahanan, dan keamanan

Cara ruang kerja mengaktifkan manajemen API federasi

Di Azure API Management, gunakan ruang kerja untuk menerapkan manajemen API federasi. Ruang kerja berfungsi seperti "folder" dalam layanan API Management:

  • Setiap ruang kerja berisi API, produk, langganan, nilai bernama, dan sumber daya terkait. Lihat referensi API Management REST API untuk daftar lengkap sumber daya dan operasi yang didukung di ruang kerja.
  • Akses tim ke sumber daya dalam ruang kerja dikelola melalui kontrol akses berbasis peran (RBAC) Azure dengan peran bawaan atau kustom yang dapat ditetapkan ke akun Microsoft Entra dan dilingkupi ke ruang kerja.
  • Setiap ruang kerja dikaitkan dengan satu atau beberapa gateway ruang kerja untuk mengalihkan trafik API ke layanan backend dari API di ruang kerja tersebut.
  • Tim platform dapat menerapkan kebijakan API yang mencakup API di ruang kerja dan menerapkan pengalaman penemuan API terpusat dengan portal pengembang.
  • Setiap tim ruang kerja dapat mengumpulkan dan menganalisis log sumber daya gateway untuk memantau API ruang kerja mereka sendiri, sementara tim platform memiliki akses federasi ke log di semua ruang kerja dalam layanan API Management, memberikan pengawasan, keamanan, dan kepatuhan di seluruh ekosistem API mereka.

Diagram konseptual layanan API Management dengan ruang kerja.

Catatan

  • Fitur ruang kerja terbaru didukung dalam API Management REST API versi 2023-09-01-preview atau yang lebih baru.
  • Untuk pertimbangan harga, lihat Harga API Management.

Meskipun ruang kerja dikelola secara independen dari layanan API Management dan ruang kerja lainnya, secara desain ruang kerja dapat mereferensikan sumber daya tingkat layanan yang dipilih. Lihat Ruang kerja dan fitur API Management lainnya, nanti di artikel ini.

Gambaran umum skenario contoh

Organisasi yang mengelola API menggunakan Azure API Management mungkin memiliki beberapa tim pengembangan yang mengembangkan, menentukan, memelihara, dan mengolah kumpulan API yang berbeda. Ruang kerja memungkinkan tim ini menggunakan API Management untuk mengelola, mengakses, dan mengamankan API mereka secara terpisah, dan secara independen mengelola infrastruktur layanan.

Berikut ini adalah contoh alur kerja untuk membuat dan menggunakan ruang kerja.

  1. Tim platform API pusat yang mengelola instans API Management membuat ruang kerja dan menetapkan izin kepada kolaborator ruang kerja menggunakan peran RBAC - misalnya, izin untuk membuat atau membaca sumber daya di ruang kerja. Gateway API dengan cakupan ruang kerja juga dibuat untuk ruang kerja.

  2. Tim platform API pusat menggunakan alat DevOps untuk membuat alur DevOps untuk API di ruang kerja tersebut.

  3. Anggota ruang kerja mengembangkan, menerbitkan, menghasilkan, dan memelihara API di ruang kerja.

  4. Tim platform API pusat mengelola infrastruktur layanan, seperti pemantauan, ketahanan, dan penerapan kebijakan semua API.

Gateway ruang kerja

Setiap ruang kerja dikonfigurasi dengan satu atau beberapa gateway ruang kerja untuk mengaktifkan runtime API yang dikelola dalam ruang kerja. Gateway ruang kerja adalah sumber daya Azure mandiri (gateway ruang kerja premium) dengan fungsionalitas inti yang sama dengan gateway yang dibangun ke dalam layanan API Management Anda.

Gateway ruang kerja dikelola secara independen dari layanan API Management dan dari satu dengan yang lain. Mereka memungkinkan isolasi runtime antara ruang kerja atau kasus penggunaan, meningkatkan keandalan API, ketahanan, dan keamanan dan memungkinkan atribusi masalah runtime ke ruang kerja.

Mengaitkan ruang kerja dengan gateway ruang kerja

Bergantung pada kebutuhan organisasi Anda, Anda dapat mengaitkan satu ruang kerja atau beberapa ruang kerja dengan gateway ruang kerja.

Catatan

Mengaitkan beberapa ruang kerja dengan gateway ruang kerja hanya tersedia untuk gateway ruang kerja yang dibuat setelah 15 April 2025.

  • Gateway ruang kerja memiliki konfigurasi tertentu (seperti jaringan virtual, skala, nama host) dan sumber daya komputasi yang dialokasikan (CPU, memori, sumber daya jaringan).
  • Sumber daya konfigurasi dan komputasi dibagikan oleh semua ruang kerja yang disebarkan di gateway.
  • Bug dalam API atau lalu lintas anomali dapat menyebabkan kelelahan sumber daya ini, memengaruhi semua ruang kerja di gateway tersebut. Dengan kata lain, semakin banyak ruang kerja yang disebarkan di gateway, semakin tinggi risiko API dari ruang kerja akan mengalami masalah keandalan yang disebabkan oleh API dari ruang kerja lain.
  • Pantau performa gateway Anda menggunakan metrik bawaan untuk pemanfaatan CPU dan memori.

Pertimbangkan keandalan, keamanan, dan biaya saat memilih model penyebaran untuk ruang kerja.

  • Gunakan gateway khusus untuk beban kerja misi penting - Untuk memaksimalkan keandalan dan keamanan API, tetapkan setiap ruang kerja misi penting ke gatewaynya sendiri, menghindari penggunaan bersama dengan ruang kerja lain.
  • Seimbangkan keandalan, keamanan, dan biaya - Kaitkan beberapa ruang kerja dengan gateway untuk menyeimbangkan keandalan, keamanan, dan biaya untuk beban kerja yang tidak penting. Mendistribusikan ruang kerja di setidaknya dua gateway membantu mencegah masalah, seperti kelelahan sumber daya atau kesalahan konfigurasi, agar tidak memengaruhi semua API dalam organisasi.
  • Gunakan gateway yang berbeda untuk kasus penggunaan yang berbeda - Mengelompokkan ruang kerja pada gateway berdasarkan kasus penggunaan atau persyaratan jaringan. Misalnya, Anda dapat membedakan antara API internal dan eksternal dengan menetapkannya ke gateway terpisah, masing-masing dengan konfigurasi jaringannya sendiri.
  • Bersiap untuk mengkarantina ruang kerja yang bermasalah - Gunakan proksi, seperti Azure Application Gateway atau Azure Front Door, di depan gateway ruang kerja bersama untuk menyederhanakan pemindahan ruang kerja yang menyebabkan kelelahan sumber daya ke gateway yang berbeda, mencegah dampak pada ruang kerja lain yang berbagi gateway.

Catatan

  • Gateway ruang kerja harus berada di wilayah yang sama dengan wilayah Azure utama instans API Management dan dalam langganan yang sama
  • Semua ruang kerja yang terkait dengan gateway ruang kerja harus berada dalam instans API Management yang sama
  • Gateway ruang kerja dapat dikaitkan dengan hingga 30 ruang kerja (hubungi dukungan untuk meningkatkan batas ini)

Nama host gerbang

Setiap gateway ruang kerja menyediakan nama host unik untuk API yang dikelola di ruang kerja terkait. Nama host default mengikuti pola <gateway-name>-<hash>.gateway.<region>.azure-api.net. Gunakan nama host gateway untuk merutekan permintaan API ke API ruang kerja Anda.

Saat ini, nama host kustom tidak didukung untuk gateway ruang kerja. Anda dapat mengonfigurasi Azure Application Gateway atau Azure Front Door dengan nama host kustom di depan gateway ruang kerja.

Isolasi jaringan

Gateway ruang kerja dapat dikonfigurasi secara opsional di jaringan virtual privat untuk mengisolasi lalu lintas masuk dan/atau keluar. Jika dikonfigurasi, gateway ruang kerja harus menggunakan subnet khusus di jaringan virtual.

Untuk persyaratan terperinci, lihat Persyaratan sumber daya jaringan untuk gerbang ruang kerja.

Catatan

  • Konfigurasi jaringan gateway ruang kerja tidak bergantung pada konfigurasi jaringan instans API Management.
  • Saat ini, gateway ruang kerja hanya dapat dikonfigurasi di jaringan virtual saat gateway dibuat. Anda tidak dapat mengubah konfigurasi atau pengaturan jaringan gateway nanti.

Kapasitas Skalabilitas

Kelola kapasitas gateway dengan menambahkan atau menghapus unit skala, mirip dengan unit yang dapat ditambahkan ke instans API Management di tingkat layanan tertentu. Biaya gateway ruang kerja didasarkan pada jumlah unit yang Anda pilih.

Ketersediaan regional

Untuk daftar wilayah terbaru di mana gateway ruang kerja tersedia, lihat Ketersediaan tingkat v2 dan gateway ruang kerja.

Pembatasan gateway

Batasan berikut saat ini berlaku untuk gateway ruang kerja:

  • Ruang kerja tidak dapat dikaitkan dengan gateway yang dihost sendiri
  • Gateway ruang kerja tidak mendukung titik akhir privat untuk lalu lintas masuk
  • API di gateway ruang kerja tidak dapat ditetapkan nama host kustom
  • API di ruang kerja tidak dicakup oleh Defender untuk API
  • Gateway ruang kerja tidak mendukung pengelola kredensial layanan API Management
  • Gateway ruang kerja hanya mendukung cache internal; cache eksternal tidak didukung
  • Gateway ruang kerja tidak mendukung API GraphQL sintetis
  • Gateway ruang kerja tidak mendukung pembuatan API langsung dari sumber daya Azure seperti Azure OpenAI Service, App Service, Function Apps, dan sebagainya
  • Metrik permintaan tidak dapat dibagi berdasarkan ruang kerja di Azure Monitor; semua metrik ruang kerja diagregasi di tingkat layanan
  • Gateway ruang kerja tidak mendukung sertifikat CA
  • Gateway ruang kerja tidak mendukung identitas terkelola, termasuk fitur terkait seperti menyimpan rahasia di Azure Key Vault dan menggunakan authentication-managed-identity kebijakan
  • Gerbang ruang kerja hanya dapat dibuat di wilayah Azure utama instans API Management.

Peran RBAC untuk ruang kerja

Azure RBAC digunakan untuk mengonfigurasi izin kolaborator ruang kerja untuk membaca dan mengedit entitas di ruang kerja. Untuk daftar peran, lihat Cara menggunakan kontrol akses berbasis peran di API Management.

Untuk mengelola API dan sumber daya lain di ruang kerja, anggota ruang kerja harus diberi peran (atau izin yang setara menggunakan peran kustom) yang dilingkupkan ke layanan API Management, ruang kerja, dan gateway ruang kerja. Peran cakupan layanan memungkinkan referensi sumber daya tingkat layanan tertentu dari sumber daya tingkat ruang kerja. Misalnya, atur pengguna ke dalam grup tingkat ruang kerja untuk mengontrol API dan visibilitas produk.

Catatan

Untuk manajemen yang lebih mudah, siapkan grup Microsoft Entra untuk menetapkan izin ruang kerja ke beberapa pengguna.

Ruang kerja dan fitur API Management lainnya

Ruang kerja dirancang untuk mandiri untuk memaksimalkan pemisahan akses administratif dan runtime API. Ada beberapa pengecualian untuk memastikan produktivitas yang lebih tinggi dan memungkinkan tata kelola, pengamatan, penggunaan kembali, dan penemuan API di seluruh platform.

  • Referensi sumber daya - Sumber daya di ruang kerja dapat mereferensikan sumber daya lain di ruang kerja dan sumber daya yang dipilih dari tingkat layanan, seperti pengguna, server otorisasi, atau grup pengguna bawaan. Mereka tidak dapat mereferensikan sumber daya dari ruang kerja lain.

    Untuk alasan keamanan, tidak dimungkinkan untuk mereferensikan sumber daya tingkat layanan dari kebijakan tingkat ruang kerja (misalnya, nilai yang diberi nama), atau berdasarkan nama sumber daya, seperti backend-id dalam kebijakan set-backend-service.

    Penting

    Semua sumber daya dalam layanan API Management (misalnya, API, produk, tag, atau langganan) harus memiliki nama unik, bahkan jika berada di ruang kerja yang berbeda. Tidak boleh ada sumber daya dengan jenis yang sama dan dengan nama sumber daya Azure yang sama di ruang kerja yang sama, di ruang kerja lain, atau di tingkat layanan.

  • Portal pengembang - Ruang kerja adalah konsep administratif dan tidak ditampilkan sebagaimana adanya kepada konsumen portal pengembang, termasuk UI dan API portal pengembang yang mendasarinya. API dan produk dalam ruang kerja dapat diterbitkan ke portal pengembang, sama seperti API dan produk di tingkat layanan.

    Catatan

    API Management mendukung penetapan server otorisasi yang ditentukan pada tingkat layanan ke API dalam ruang kerja.

Bermigrasi dari ruang kerja pratinjau

Jika Anda membuat ruang kerja pratinjau di Azure API Management dan ingin terus menggunakannya, migrasikan ruang kerja Anda ke versi yang tersedia secara umum dengan mengaitkan gateway ruang kerja dengan setiap ruang kerja.

Untuk mendapatkan detail dan mempelajari tentang perubahan lain yang dapat memengaruhi ruang kerja pratinjau Anda, lihat Perubahan signifikan ruang kerja (Maret 2025).

Menghapus ruang kerja

Menghapus ruang kerja akan menghapus semua sumber daya turunannya (misalnya API, produk, dan sebagainya) serta gateway yang terkait, jika Anda menggunakan antarmuka portal Azure untuk menghapus ruang kerja. Ini tidak menghapus instans API Management atau ruang kerja lainnya.

Konten terkait