受信プライベートエンドポイントを使用して API Management に非公開で接続する

[アーティクル]
11/14/2023

適用対象: Developer | Basic | Standard | Premium

API Management インスタンスに対して受信プライベートエンドポイントを構成すると、プライベートネットワーク内のクライアントが Azure Private Link を介して安全にインスタンスにアクセスできるようになります。

プライベートエンドポイントは、ホストされている Azure VNet の IP アドレスを使用します。
プライベートネットワーク上のクライアントと API Management 間のネットワークトラフィックは、VNet および Microsoft バックボーンネットワーク上の Private Link を経由することで、パブリックインターネットにさらされないようにします。
カスタム DNS 設定または Azure DNS プライベートゾーンを構成して、API Management のホスト名をエンドポイントのプライベート IP アドレスにマップします。

プライベートエンドポイントを使用した API Management へのセキュリティで保護された受信接続を示す図。

プライベートエンドポイントと Private Link を使うと、次のことが可能になります。

API Management インスタンスへの複数の Private Link 接続を作成します。
プライベートエンドポイントを使って、安全な接続でインバウンドトラフィックを送信します。
ポリシーを使って、プライベートエンドポイントから送信されるトラフィックを区別します。
受信トラフィックをプライベートエンドポイントのみに制限し、データ流出を防ぎます。

重要

API Management インスタンスへの受信トラフィックに対してのみ、プライベートエンドポイント接続を構成できます。現時点では、送信トラフィックはサポートされません。

外部または内部の仮想ネットワークモデルを使用して、API Management インスタンスからプライベートエンドポイントへの送信接続を確立できます。
受信プライベートエンドポイントを有効にするためには、API Management インスタンスを外部または内部の仮想ネットワークに挿入できません。

制限事項

受信 Private Link 接続をサポートしているのは、API Management インスタンスのゲートウェイエンドポイントのみです。
各 API Management インスタンスは最大 100 の Private Link 接続をサポートしています。
セルフホステッドゲートウェイでは接続はサポートされていません。

前提条件

既存の API Management インスタンスがある。まだない場合は、作成してください。
- API Management インスタンスは stv2 コンピューティングプラットフォームでホストされている必要があります。たとえば、新しいインスタンスを作成するか、既に Premium サービスレベルのインスタンスがある場合は、ゾーン冗長を有効にしてください。
- 外部または内部仮想ネットワークにインスタンスをデプロイ (挿入) しないでください。
プライベートエンドポイントをホストする仮想ネットワークとサブネット。このサブネットには他の Azure リソースが含まれている可能性があります。
(推奨) プライベートエンドポイントをテストするための、仮想ネットワーク内の同じまたは異なるサブネットにある仮想マシン。

プライベートエンドポイントの承認方法

通常、ネットワーク管理者がプライベートエンドポイントを作成します。 Azure のロールベースのアクセス制御 (RBAC) アクセス許可に応じて、作成するプライベートエンドポイントは、API Management インスタンスにトラフィックを送信するように "自動的に承認" されるか、リソース所有者が接続を "手動で承認" する必要があるか、のどちらかです。

承認方法	RBAC の最小アクセス許可
自動	`Microsoft.Network/virtualNetworks/` `Microsoft.Network/virtualNetworks/subnets/` `Microsoft.Network/privateEndpoints/` `Microsoft.Network/networkinterfaces/` `Microsoft.Network/locations/availablePrivateEndpointTypes/read` `Microsoft.ApiManagement/service/` `Microsoft.ApiManagement/service/privateEndpointConnections/`
マニュアル	`Microsoft.Network/virtualNetworks/` `Microsoft.Network/virtualNetworks/subnets/` `Microsoft.Network/privateEndpoints/` `Microsoft.Network/networkinterfaces/` `Microsoft.Network/locations/availablePrivateEndpointTypes/read`

サブスクリプションで使用可能なプライベートエンドポイントの種類を取得する

API Management プライベートエンドポイントの種類が、自分のサブスクリプションと場所で利用可能であることを確認します。ポータルで、Private Link センターに移動してこの情報を確認します。 サポートされているリソースを選びます。

この情報は、使用できるプライベートエンドポイントの種類 - 一覧 REST API を使って確認することもできます。

GET https://management.azure.com/subscriptions/{subscriptionId}/providers/Microsoft.Network/locations/{region}/availablePrivateEndpointTypes?api-version=2021-03-01

出力には、Microsoft.ApiManagement.service エンドポイントの種類が含まれます。

[...]

      "name": "Microsoft.ApiManagement.service",
      "id": "/subscriptions/{subscriptionId}/providers/Microsoft.Network/AvailablePrivateEndpointTypes/Microsoft.ApiManagement.service",
      "type": "Microsoft.Network/AvailablePrivateEndpointTypes",
      "resourceName": "Microsoft.ApiManagement/service",
      "displayName": "Microsoft.ApiManagement/service",
      "apiVersion": "2021-04-01-preview"
    }
[...]

サブネットでネットワークポリシーを無効にする

プライベートエンドポイントに使うサブネットでは、ネットワークセキュリティグループなどのネットワークポリシーが無効になっている必要があります。

Azure PowerShell、Azure CLI、または REST API などのツールを使ってプライベートエンドポイントを構成する場合は、サブネットの構成を手動で更新します。例については、「プライベートエンドポイントのネットワークポリシーを管理する」を参照してください。

次のセクションに示すように、Azure portal を使ってプライベートエンドポイントを作成すると、作成プロセスの一環としてネットワークポリシーは自動的に無効化されます

プライベートエンドポイントの作成 - ポータル

Azure portal で API Management サービスに移動します。
左側のメニューで [ネットワーク] を選択します。
[受信プライベートエンドポイント接続]>[+ エンドポイント追加] を選択します。

[プライベートエンドポイントの作成] の [基本] タブで、次の情報を入力または選択します。

設定	値
プロジェクトの詳細
サブスクリプション	サブスクリプションを選択します。
Resource group	既存のリソースグループを選択するか、新しいものを作成します。仮想ネットワークと同じリージョンに存在する必要があります。
インスタンスの詳細
Name	エンドポイントの名前 (myPrivateEndpoint など) を入力します。
ネットワークインターフェイス名	ネットワークインターフェイスの名前 (例:「myInterface」) を入力します。
リージョン	プライベートエンドポイントの場所を選びます。仮想ネットワークと同じリージョンに存在する必要があります。これは、API Management インスタンスがホストされているリージョンとは異なる場合があります。

[リソース] タブを選択するか、ページ下部の [次へ: リソース] ボタンを選択します。 API Management インスタンスに関する以下の情報は、既に入力されています。
- サブスクリプション
- Resource group
- リソース名
[リソース] の [ターゲットサブリソース] で、[ゲートウェイ] を選びます。
[仮想ネットワーク] タブ、または画面の下部にある [次: 仮想ネットワーク] ボタンを選択します。

[ネットワーク] で、次の情報を入力または選択します。

設定	値
仮想ネットワーク	仮想ネットワークを選択します。
Subnet	サブネットを選択します。
プライベート IP 構成	多くの場合では、[IP アドレスを動的に割り当てる] を選択します。
アプリケーションセキュリティグループ	必要に応じて、[アプリケーションセキュリティグループ] を選択します。

[DNS] タブ、または画面下部にある [次へ: DNS] ボタンを選択します。

[プライベート DNS の統合] で、次の情報を入力または選択します。

設定	値
プライベート DNS ゾーンとの統合	既定値の [はい] のままにします。
サブスクリプション	サブスクリプションを選択します。
Resource group	リソースグループを選択します。
プライベート DNS ゾーン	既定値が表示されます: [(new) privatelink.azure-api.net]。

[タグ] タブ、または画面下部にある [次へ: タブ] ボタンを選択します。必要な場合は、タグを入力して Azure リソースを整理します。
[Review + create](レビュー + 作成) を選択します。
［作成］ を選択します

インスタンスへのプライベートエンドポイント接続の一覧表示

プライベートエンドポイントが作成されると、ポータルの API Management インスタンスの [受信プライベートエンドポイント接続] ページの一覧に表示されます。

また、プライベートエンドポイント接続 - サービス別一覧 REST API を使って、サービスインスタンスへのプライベートエンドポイント接続の一覧を表示することもできます。

エンドポイントの接続状態に注意してください。

[承認済み] は、API Management リソースが自動的に接続を承認したことを示します。
[保留中] は、リソース所有者が接続を手動で承認する必要があることを示します。

保留中のプライベートエンドポイント接続を承認する

プライベートエンドポイント接続が保留状態の場合、API Management インスタンスの所有者は、その接続を使用する前に手動で承認する必要があります。

十分なアクセス許可がある場合は、ポータルの API Management インスタンスの [プライベートエンドポイント接続] ページで、プライベートエンドポイント接続を承認してください。

また、API Management のプライベートエンドポイント接続 - 作成または更新 REST API を使うこともできます。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ApiManagement/service/{apimServiceName}privateEndpointConnections/{privateEndpointConnectionName}?api-version=2021-08-01

パブリックネットワークアクセスを必要に応じて無効にする

必要に応じて、API Management インスタンスへの受信トラフィックをプライベートエンドポイントのみに制限するには、パブリックネットワークアクセスを無効化します。 API Management サービス - 作成または更新 REST API を使用して publicNetworkAccess プロパティを Disabled に設定してください。

Note

この publicNetworkAccess プロパティは、VNet インジェクションなどの他のネットワーク構成ではなく、プライベートエンドポイントで構成された API Management インスタンスへのパブリックアクセスを無効にするためにのみ使用できます。

PUT https://management.azure.com/subscriptions/{subscriptionId}/resourceGroups/{resourceGroupName}/providers/Microsoft.ApiManagement/service/{apimServiceName}?api-version=2021-08-01
Authorization: Bearer {{authToken.response.body.access_token}}
Content-Type: application/json

以下の JSON 本文を使用します。

{
  [...]
  "properties": {
    "publicNetworkAccess": "Disabled"
  }
}

プライベートエンドポイント接続の検証

プライベートエンドポイントを作成したら、ポータルでその DNS の設定を確認します。

Azure portal で API Management サービスに移動します。
左側のメニューで、[ネットワーク]>[受信プライベートエンドポイント接続] を選択し、作成したプライベートエンドポイントを選択します。
左側のナビゲーションで、[DNS の構成] を選びます。
プライベートエンドポイントの DNS レコードと IP アドレスを確認します。この IP アドレスは、プライベートエンドポイントが構成されているサブネットのアドレス空間のプライベートアドレスです。

仮想ネットワークでのテスト

仮想ネットワークに設定した仮想マシンに接続します。

nslookup や dig などのユーティリティを実行し、Private Link 経由でデフォルトゲートウェイのエンドポイントの IP アドレスを検索します。次に例を示します。

nslookup my-apim-service.azure-api.net

出力には、プライベートエンドポイントに関連付けられたプライベート IP アドレスが含まれます。

仮想ネットワーク内でデフォルトゲートウェイのエンドポイントに対して開始された API 呼び出しは成功するはずです。

インターネットからのテスト

プライベートエンドポイントのパスの外部から、API Management インスタンスのデフォルトゲートウェイのエンドポイントを呼び出すことを試みます。パブリックアクセスが無効になっている場合、出力には状態コード 403 のエラーと、次のようなメッセージが含まれます。

Request originated from client public IP address xxx.xxx.xxx.xxx, public network access on this 'Microsoft.ApiManagement/service/my-apim-service' is disabled.
       
To connect to 'Microsoft.ApiManagement/service/my-apim-service', please use the Private Endpoint from inside your virtual network.

次のステップ

ポリシー式と context.request 変数を使って、プライベートエンドポイントからのトラフィックを識別します。
「プライベートエンドポイント」、「Private Link」、「Private Link の価格」で詳細を確認する。
プライベートエンドポイント接続の管理に関する詳細を確認します。
Azure プライベートエンドポイント接続に関する問題をトラブルシューティングします。
Resource Manager テンプレートを使って、API Management インスタンスと、プライベート DNS 統合を使ったプライベートエンドポイントを作成します。

受信プライベート エンドポイントを使用して API Management に非公開で接続する

制限事項

前提条件

プライベート エンドポイントの承認方法

プライベート エンドポイントの構成手順

サブスクリプションで使用可能なプライベート エンドポイントの種類を取得する

サブネットでネットワーク ポリシーを無効にする

プライベート エンドポイントの作成 - ポータル

インスタンスへのプライベート エンドポイント接続の一覧表示

保留中のプライベート エンドポイント接続を承認する

パブリック ネットワーク アクセスを必要に応じて無効にする

プライベート エンドポイント接続の検証