Синхронизация API из Шлюза API Amazon в Центр API Azure (предварительная версия)

В этой статье показано, как интегрировать шлюз API Amazon, чтобы API шлюза постоянно обновлялись в инвентаризации центра API.

О интеграции Amazon API Gateway

Интеграция Шлюза API Amazon в качестве источника API для центра API обеспечивает непрерывную синхронизацию, чтобы инвентаризация API оставалась актуальной. Центр API Azure также может синхронизировать API из источников, включая Azure Управление API.

При интеграции шлюза API Amazon в качестве источника API происходит следующее:

1. API и при необходимости определения API (спецификации) из шлюза API добавляются в инвентаризацию центра API.
2. Вы настраиваете среду типа Amazon API Gateway в центре API.
3. Для каждого синхронизированного определения API создается связанное развертывание.

Синхронизация — это односторонняя синхронизация из Шлюза API Amazon в центр API Azure, то есть обновления API в центре API не синхронизируются с Шлюзом API Amazon.

Примечание.

• Интеграция Шлюза API Amazon в настоящее время находится в предварительной версии.
• Существуют ограничения на количество интегрированных источников API.
• API-интерфейсы в Шлюзе API Amazon синхронизируются с центром API один раз в час. Синхронизированы только интерфейсы REST API.
• Определения API также синхронизируются с центром API при выборе параметра включения их во время интеграции. Синхронизированы только определения из развернутых API.

Сущности, синхронизированные из шлюза API Amazon

Вы можете добавить или обновить свойства метаданных и документацию в синхронизированные API в центре API, чтобы помочь заинтересованным лицам обнаруживать, понимать и использовать API. Дополнительные сведения о встроенных и настраиваемых свойствах метаданных в Центре API Azure.

В следующей таблице показаны свойства сущности, которые можно изменить в Центре API Azure и свойствах, заданных на основе их значений в источнике API.

Объект	Свойства, настраиваемые в Центре API	Свойства, определенные в интегрированном источнике API
API (Интерфейс программирования приложений)	Итоги этап жизненного цикла условия обслуживания лицензия внешняя документация ПользовательскиеСвойства	заголовок описание вид
Версия API	этап жизненного цикла	заголовок определения (при синхронизации)
Окружающая среда	заголовок описание тип server.управлениеПорталомUri Введение в должность ПользовательскиеСвойства	тип_сервера
Развертывание	заголовок описание сервер государство ПользовательскиеСвойства	server.runtimeUri

Примечание.

Идентификаторы ресурсов и системы для сущностей, синхронизированных с Центром API Azure, автоматически создаются и не могут быть изменены.

Предварительные условия

• Центр API в подписке Azure. Если вы ещё не создали центр API, см. Краткое руководство: Создание центра API.

• Хранилище ключей Azure Если вам нужно создать хранилище ключей, смотрите Краткое руководство: Создание хранилища ключей с помощью портала Azure. Чтобы добавлять или управлять секретами в хранилище ключей, необходимо иметь как минимум роль Key Vault Secrets Officer или эквивалентные разрешения.

• Шлюз Amazon API.

• Идентификатор пользователя AWS IAM с прикрепленной политикойAmazonAPIGatewayAdministrator.

• При использовании Azure CLI выполните следующее:

  • Используйте среду Bash в Azure Cloud Shell. Дополнительные сведения см. в статье "Начало работы с Azure Cloud Shell".

    

  • Если вы предпочитаете выполнять справочные команды CLI локально, установите Azure CLI. Если вы работаете в Windows или macOS, Azure CLI можно запустить в контейнере Docker. Дополнительные сведения см. в статье Как запустить Azure CLI в контейнере Docker.

    • Если вы используете локальную установку, выполните вход в Azure CLI с помощью команды az login. Чтобы выполнить аутентификацию, следуйте инструкциям в окне терминала. Сведения о других параметрах входа см. в статье "Проверка подлинности в Azure с помощью Azure CLI".

    • Установите расширение Azure CLI при первом использовании, когда появится соответствующий запрос. Дополнительные сведения о расширениях см. в статье Использование расширений и управление ими с помощью Azure CLI.

    • Выполните команду az version, чтобы узнать установленную версию и зависимые библиотеки. Чтобы обновиться до последней версии, выполните команду az upgrade.

  Примечание.

  az apic для команд требуется apic-extension расширение Azure CLI. Если вы не использовали az apic команды, расширение можно установить динамически при выполнении первой az apic команды или установить расширение вручную. Дополнительные сведения о расширениях Azure CLI.

  См. заметки о выпуске для получения информации о последних изменениях и обновлениях в apic-extension. Для некоторых функций может потребоваться предварительная версия или определенная версия расширения.

  Примечание.

  Примеры команд Azure CLI в этой статье могут выполняться в PowerShell или оболочке bash. Если это необходимо из-за разного синтаксиса переменной, для двух оболочк предоставляются отдельные примеры команд.

Создание ключей доступа пользователей IAM

Чтобы пройти проверку подлинности центра API в Шлюзе API Amazon, вам потребуются ключи доступа для пользователя AWS IAM.

Чтобы создать необходимый идентификатор ключа доступа и секретный ключ с помощью консоли управления AWS, см. статью "Создание ключа доступа для себя " в документации AWS.

Сохраните ключи доступа в безопасном расположении. Вы сохраните их в Azure Key Vault в следующих шагах.

Внимание

Ключи доступа являются долгосрочными учетными данными, и вы должны управлять ими так безопасно, как и пароль. Дополнительные сведения о защите ключей доступа

Хранение ключей доступа пользователей IAM в Azure Key Vault

Вручную отправьте и безопасно сохраните два ключа доступа пользователей IAM в Azure Key Vault с помощью конфигурации, рекомендуемой в следующей таблице. Более подробную информацию смотрите в кратком руководстве: Установка и получение секрета из Azure Key Vault с помощью портала Azure.

Секрет AWS	Параметры отправки	Имя.	Значение секрета
Ключ доступа	Руководство	aws-access-key	Идентификатор ключа доступа, полученный из AWS
Секретный ключ доступа	Руководство	aws-secret-access-key (секретный ключ доступа AWS)	Ключ секретного доступа, полученный из AWS

Запишите идентификатор секрета каждого секрета, URI, аналогичный https://<key-vault-name>.vault.azure.net/secrets/<secret-name>. Эти идентификаторы будут использоваться в следующих шагах.

Включите управляемое удостоверение в центре управления API

В этом сценарии центр API использует управляемое удостоверение для доступа к ресурсам Azure. В зависимости от вашей нужды включите либо удостоверение с управлением, назначаемое системой, либо одно или несколько удостоверений с управлением, назначаемых пользователем.

В следующих примерах показано, как включить управляемое удостоверение, назначаемое системой, с помощью портала Azure или Azure CLI. На высоком уровне шаги конфигурации аналогичны управляемой удостоверенности, назначенной пользователем.

Портал

1. На портале перейдите в центр API.
2. В левом меню в разделе Безопасность выберите Управляемые удостоверения.
3. Выберите Автоматически, и задайте для параметра статус Вкл.
4. Выберите Сохранить.

Azure CLI

Назначьте системно назначаемый идентификатор в центре управления API, используя следующую команду az apic update. Замените имена центра API и группы ресурсов:

az apic update --name <api-center-name> --resource-group <resource-group-name> --identity '{"type": "SystemAssigned"}'

Назначьте управляемому удостоверению роль пользователя секретов Key Vault

Чтобы разрешить импорт API, назначьте управляемому удостоверению центра API роль пользователя секретов Key Vault в вашем хранилище ключей Azure. Вы можете использовать портал или Azure CLI.

Портал

1. На портале перейдите к хранилищу ключей.
2. В меню слева выберите Управление доступом (IAM).
3. Выберите + Добавить назначение ролей.
4. На странице "Добавление назначения ролей" задайте следующие значения:
   1. На вкладке "Роль" выберите "Пользователь Key Vault Secrets".
   2. На вкладке Члены в разделе Назначить доступ выберите Управляемое удостоверение>, затем + Выбрать участников.
   3. На странице "Выбор управляемых удостоверений" выберите назначаемое системой управляемое удостоверение центра API, добавленное в предыдущем разделе. Щелкните Выбрать.
   4. Выберите Проверить и присвоить.

Azure CLI

1. Получите основной идентификатор личности. Для системного удостоверения используйте команду az apic show.

   #! /bin/bash
   apicObjID=$(az apic show --name <api-center-name> \
       --resource-group <resource-group-name> \
       --query "identity.principalId" --output tsv)
   

   # Formatted for PowerShell
   $apicObjID=$(az apic show --name <api-center-name> `
       --resource-group <resource-group-name> `
       --query "identity.principalId" --output tsv)
   

2. Получите идентификатор ресурса хранилища ключей с помощью команды az keyvault show .

   #! /bin/bash
   kvID=$(az keyvault show --name <kv-name> --resource-group <resource-group-name> --query "id" --output tsv)
   

   # Formatted for PowerShell
   $kvID=$(az keyvault show --name <kv-name> --resource-group <resource-group-name> --query "id" --output tsv)
   

3. Назначьте управляемому удостоверению роль пользователя секретов Key Vault в хранилище ключей с помощью команды az role assignment create.

   #! /bin/bash
   scope="${kvID:1}"
   
   az role assignment create \
       --role "Key Vault Secrets User" \
       --assignee-object-id $apicObjID \
       --assignee-principal-type ServicePrincipal \
       --scope $scope 
   

   # Formatted for PowerShell
   $scope=$apimID.substring(1)
   
   az role assignment create `
       --role "Key Vault Secrets User" `
       --assignee-object-id $apicObjID `
       --assignee-principal-type ServicePrincipal `
       --scope $scope 
   

Интеграция шлюза API Amazon

Шлюз API Amazon можно интегрировать с помощью портала или Azure CLI.

Портал

1. На портале перейдите в центр API.
2. В разделе "Платформы" выберите "Интеграции".
3. Выберите +Создать интеграцию>из шлюза API Amazon.
4. На странице интеграции службы шлюза API Amazon :
   1. Для ключа доступа AWS и ключа доступа к секрету AWS щелкните "Выбрать " и выберите подписку, хранилище ключей, секрет, который вы сохранили.
   2. Выберите регион AWS , в котором развернут шлюз API Amazon.
   3. В разделе "Сведения об интеграции" введите идентификатор.
   4. В разделе "Сведения о среде" введите название среды (имя), тип среды и необязательное описание.
   5. В Сведения об API:
      1. Выберите жизненный цикл для синхронизированных API. (Это значение можно обновить для API после их добавления в центр API.)
      2. При необходимости выберите, следует ли включать определения API с синхронизированными API.
5. Выберите Создать.

Azure CLI

Выполните команду az apic integration create aws (preview), чтобы интегрировать шлюз API Amazon в центр API.

• Укажите имена группы ресурсов, центра API и интеграции.

• Укажите идентификаторы секретов Key Vault для ключа доступа AWS и ключа секретного доступа, а также регион AWS, в котором развернут шлюз API Amazon.

az apic integration create aws \
    --resource-group <resource-group-name> \
    --service-name-name <api-center-name> \
    --integration-name <aws-integration-name> \
    --aws-access-key-reference <access-key-uri> \
    --aws-secret-access-key-reference <secret-access-key-uri> 
    --aws-region-name <aws-region>

Среда добавлена в центр API. API-интерфейсы шлюза API Amazon импортируются в инвентаризацию центра API.

Удалите интеграцию

Хотя источник API интегрирован, вы не можете удалить синхронизированные API из центра API. При необходимости можно удалить интеграцию. При удалении интеграции:

• Синхронизированные API в инвентаризации центра API удаляются
• Среда и развертывания, связанные с источником API, удаляются

Вы можете удалить интеграцию с помощью портала или Azure CLI.

Портал

1. На портале перейдите в центр API.
2. В разделе "Ресурсы" выберите "Интеграции сред>" (предварительная версия).
3. Выберите интеграцию и нажмите кнопку "Удалить " (значок корзины).

Azure CLI

Выполните команду az apic integration delete (preview), чтобы удалить интеграцию. Укажите имена группы ресурсов, центра API и интеграции.

az apic integration delete \
    --resource-group <resource-group-name> \
    --service-name <api-center-name> \
    --integration-name <integration-name> \

Связанный контент

• Управление инвентаризацией API с помощью команд Azure CLI
• Синхронизируйте API из Управления API в центр API Azure