Configurazione della rete virtuale

Una rete virtuale crea un limite di sicurezza intorno al App contenitore di Azure environment. Per impostazione predefinita, gli ambienti vengono creati con una rete virtuale generata automaticamente. Tuttavia, l'uso di una rete virtuale esistente offre più funzionalità di rete Azure, ad esempio l'integrazione con gateway applicazione di Azure, i gruppi di sicurezza di rete e la comunicazione con le risorse dietro gli endpoint privati. Questa configurazione è importante per i clienti aziendali che devono isolare le applicazioni interne cruciali dalla rete Internet pubblica.

Quando si crea una rete virtuale, tenere presenti le situazioni seguenti:

• Se si vuole che l'app contenitore limiti tutti gli accessi esterni, creare un ambiente app contenitore interno.

• Se si usa la propria rete virtuale, è necessario fornire una subnet dedicata esclusivamente all'app contenitore. Questa subnet non è disponibile per altri servizi.

• Gli indirizzi di rete vengono assegnati da un intervallo di subnet definito durante la creazione dell'ambiente.

  • È possibile definire l'intervallo della subnet utilizzato dall'ambiente di Container Apps.

  • È possibile limitare le richieste in ingresso all'ambiente esclusivamente alla rete virtuale distribuendo l'ambiente come interno.

Annotazioni

Quando si specifica una rete virtuale personalizzata, vengono create risorse gestite aggiuntive. Queste risorse comportano costi in base alle tariffe associate.

Inizia a progettare la rete intorno alla tua app contenitore, consulta Pianificare le reti virtuali.

Annotazioni

Lo spostamento di reti virtuali tra gruppi di risorse o sottoscrizioni diversi non è consentito se un ambiente app contenitore usa la rete virtuale.

Subnet

L'integrazione della rete virtuale dipende da una subnet dedicata. L'allocazione degli indirizzi IP in una subnet e le dimensioni delle subnet supportate dipendono dal piano in uso in Container Apps.

Selezionare attentamente le dimensioni delle subnet. Non è possibile modificare le dimensioni di una subnet dopo aver creato un ambiente di Container Apps.

Ogni tipo di ambiente ha requisiti di subnet specifici:

Ambiente del profilo del carico di lavoro

• Le dimensioni minime della subnet necessarie per l'integrazione della rete virtuale sono /27.

• È necessario delegare la subnet a Microsoft.App/environments.

• Quando si utilizza un ambiente esterno con ingress esterno, il traffico in ingresso passa attraverso l'indirizzo IP pubblico dell'infrastruttura anziché attraverso la subnet.

• Container Apps riserva automaticamente 12 indirizzi IP per l'integrazione con la sottorete. Il numero di indirizzi IP necessari per l'integrazione dell'infrastruttura non varia in base alle esigenze di scalabilità dell'ambiente.

  Gli indirizzi IP aggiuntivi vengono allocati in base alle regole seguenti, a seconda del tipo di profilo del carico di lavoro in uso:

  • Profilo del carico di lavoro dedicato: quando l'app contenitore aumenta il numero di istanze, a ogni nodo viene assegnato un indirizzo IP.

  • Profilo del carico di lavoro a consumo: ogni indirizzo IP può essere condiviso tra più repliche. Quando si pianifica il numero di indirizzi IP necessari per l'app, pianificare un indirizzo IP per 10 repliche.

• Quando si apporta una modifica a una revisione in modalità con revisione singola, lo spazio di indirizzamento richiesto viene raddoppiato per un breve periodo per supportare distribuzioni senza tempi di inattività. Questo raddoppio influisce sulle repliche o sui nodi supportati reali e disponibili per una determinata dimensione della subnet. La tabella seguente illustra sia gli indirizzi disponibili massimi per ogni blocco CIDR che l'effetto sul ridimensionamento orizzontale.

  Dimensioni della subnet	Indirizzi IP disponibili1	Numero massimo di nodi (profilo del carico di lavoro dedicato)2	Numero massimo di repliche (profilo del carico di lavoro a consumo)2
  /23	498	249	2,490
  /24	242	121	1,210
  /25	114	57	570
  /26	50	25	250
  /27	18	9	90

  ¹ Il numero di indirizzi IP disponibili è la dimensione della subnet meno i 14 indirizzi IP necessari per l'infrastruttura App contenitore di Azure (che include 5 indirizzi IP riservati dalla subnet).

  ² Questi numeri si riferiscono alle app in modalità a revisione singola.

Ambiente di solo consumo

• Le dimensioni minime della subnet necessarie per l'integrazione della rete virtuale sono /23.

• La subnet non deve essere delegata ad alcun servizio, compreso Microsoft.App/environments.

• Il runtime di Container Apps riserva almeno 60 indirizzi IP per l'infrastruttura della rete virtuale. La quantità di indirizzi riservata può aumentare fino a 256 indirizzi man mano che le app nel tuo ambiente si ridimensionano.

• Quando le app vengono ridimensionate, viene allocato un nuovo indirizzo IP per ogni nuova replica.

• Quando si apporta una modifica a una revisione in modalità revisione singola, lo spazio di indirizzamento richiesto viene raddoppiato per un breve periodo per supportare deployment senza interruzioni. Questo raddoppio influisce sulle repliche supportate reali e disponibili per una determinata dimensione della subnet.

Restrizioni per gli intervalli di indirizzi della subnet

Ambiente del profilo del carico di lavoro

Gli intervalli di indirizzi della subnet non possono sovrapporsi agli intervalli seguenti che servizio Azure Kubernetes riserva:

• 169.254.0.0/16
• 172.30.0.0/16
• 172.31.0.0/16
• 192.0.2.0/24

Inoltre, un ambiente con profilo di carico di lavoro riserva i seguenti indirizzi:

• 100.100.0.0/17
• 100.100.128.0/19
• 100.100.160.0/19
• 100.100.192.0/19

Ambiente di solo consumo

Gli intervalli di indirizzi della subnet non possono sovrapporsi agli intervalli seguenti che servizio Azure Kubernetes riserva:

• 169.254.0.0/16
• 172.30.0.0/16
• 172.31.0.0/16
• 192.0.2.0/24

Se hai creato il tuo ambiente di Container Apps con un CIDR di servizio personalizzato, assicurati che la subnet della tua app contenitore, o qualsiasi subnet in peering, non sia in conflitto con l'intervallo del tuo CIDR di servizio personalizzato.

Configurazione della subnet con la CLI

Quando viene creato un ambiente di App contenitore, è possibile specificare gli ID risorsa per una singola subnet.

Se si usa il interfaccia della riga di comando di Azure, il parametro per definire l'ID risorsa subnet è infrastructure-subnet-resource-id. La subnet ospita i componenti dell'infrastruttura e i contenitori di app utente.

Se si usa interfaccia della riga di comando di Azure con un ambiente di tipo solo Consumo e se è definito l'intervallo platformReservedCidr, entrambe le subnet non devono sovrapporsi all'intervallo IP definito in platformReservedCidr.

integrazione di Gateway NAT di Azure

È possibile usare Gateway NAT di Azure per semplificare la connettività per il traffico Internet in uscita nella rete virtuale in un ambiente del profilo del carico di lavoro.

Quando si configura un gateway NAT (Network Address Translation) nella subnet, il gateway NAT fornisce un indirizzo IP pubblico statico per l'ambiente. Tutto il traffico in uscita dall'app contenitore viene instradato tramite l'indirizzo IP pubblico statico del gateway NAT.

Annotazioni

Lo SKU StandardV2 di Gateway NAT di Azure non è attualmente supportato per l'integrazione.

Risorse gestite

Quando si distribuisce un ambiente interno o esterno nella propria rete, viene creato un nuovo gruppo di risorse nella sottoscrizione di Azure in cui è ospitato l'ambiente. Questo gruppo di risorse contiene componenti dell'infrastruttura gestiti dalla piattaforma App contenitore di Azure. Non modificare i servizi in questo gruppo o il gruppo di risorse stesso.

Annotazioni

I tag definiti dall'utente assegnati all'ambiente App contenitore vengono replicati in tutte le risorse all'interno del gruppo di risorse, incluso il gruppo di risorse stesso.

Ambiente del profilo del carico di lavoro

Il nome del gruppo di risorse creato nella sottoscrizione Azure in cui è ospitato l'ambiente è preceduto da ME_ per impostazione predefinita. È possibile personalizzare il nome del gruppo di risorse durante la creazione dell'ambiente App contenitore.

Per gli ambienti esterni, il gruppo di risorse contiene un indirizzo IP pubblico usato in modo specifico per la connettività in ingresso all'ambiente esterno e un servizio di bilanciamento del carico. Per gli ambienti interni, il gruppo di risorse contiene solo un servizio di bilanciamento del carico.

Oltre alla fatturazione di Container Apps standard, ti vengono addebitati:

• Un indirizzo IP pubblico statico standard per l'uscita se si usa un ambiente interno o esterno, più un indirizzo IP pubblico statico standard per l'ingresso se si usa un ambiente esterno. Se hai bisogno di più indirizzi IP pubblici in uscita a causa di problemi di NAT di origine (SNAT), apri un ticket di supporto per richiedere una deroga.

• Un bilanciatore di carico standard.

Il costo dei dati elaborati (in gigabyte) include sia l'ingresso che l'uscita per le operazioni di gestione.

Ambiente di solo consumo

Il nome del gruppo di risorse creato nella sottoscrizione Azure in cui è ospitato l'ambiente è preceduto da MC_ per impostazione predefinita. Non è possibile personalizzare il nome del gruppo di risorse quando si crea un'app contenitore. Il gruppo di risorse contiene indirizzi IP pubblici usati in modo specifico per la connettività in uscita dall'ambiente e un servizio di bilanciamento del carico.

Oltre alla fatturazione standard di Container Apps, vengono addebitati i costi seguenti:

• Un indirizzo IP pubblico statico standard per l'uscita. Se hai bisogno di più indirizzi IP in uscita a causa di problemi di NAT di origine (SNAT), apri un ticket di supporto per richiedere un'eccezione.

• Due servizi di bilanciamento del carico standard se si usa un ambiente interno o un servizio di bilanciamento del carico standard se si usa un ambiente esterno. Ogni Load Balancer ha meno di sei regole.

Il costo dei dati elaborati (in gigabyte) include sia l'ingresso che l'uscita per le operazioni di gestione.

Passo successivo

Integrate un ambiente di App contenitore di Azure con Firewall di Azure