Как использовать Azure API Management для доступа к ресурсу Azure, защищенному периметром сетевой безопасности.

В этой статье показано, как защитить ресурс службы Azure с помощью периметра безопасности сети Azure и получить к нему доступ с помощью службы "Управление API Azure".

Например, вы настраиваете учетную запись хранения Azure с сетевым периметром безопасности, чтобы разрешить трафик из вашей подписки, включающей экземпляр управления API, используете управляемое удостоверение управления API для проверки подлинности в службе хранилища Azure и проверите доступ с помощью консоли тестирования управления API. Подключение к доверенной службе и общедоступный доступ к учетной записи хранения будет отключен.

Зачем использовать периметр безопасности сети с помощью управления API?

Периметр безопасности сети предоставляет поддерживаемый централизованный периметр для явного разрешения трафика при отключении общедоступного доступа. Предоставляет:

  • Современная модель доверия токенов: Теперь токены управляемого удостоверения включают утверждения о режиме доверия, которые больше не разрешают неявное обход сетевых ограничений. Сетевой периметр безопасности устанавливает четкий маршрут в сети, необходимый для работы бэкенда.
  • Централизованное управление: Периметр безопасности сети объединяет правила сети для каждой службы в один периметр, повышая согласованность и наблюдаемость между защищенными ресурсами.
  • Работает без виртуальной сети: Для экземпляров управления API, не изолированных с виртуальной сетью, периметр безопасности сети обеспечивает безопасный доступ по подписке или диапазону IP-адресов. Если изоляция виртуальной сети доступна и предпочтительна, вы можете продолжать использовать этот подход.

Замечание

Начиная с марта 2026 г . управление API прекращает подключение к доверенной службе из шлюза, чтобы выбрать серверные службы Azure. Если серверные хранилища, такие как учетные записи хранения Azure, зависят от доверенных служб Microsoft или экземпляров ресурсов для сетевого доступа, необходимо выполнить миграцию. Периметр безопасности сети предоставляет поддерживаемый централизованный периметр для явного разрешения трафика при отключении общедоступного доступа.

Предпосылки

  • Подписка на Azure и разрешения владельца или участника.
  • Экземпляр управления API Azure с включенным управляемым удостоверением, назначенным системой или назначаемым пользователем.
  • Учетная запись хранения Azure
    • Настройте контейнер и как минимум один тестовый blob (например, JSON-файл).
    • Чтобы начать, разрешите доступ общедоступной сети к аккаунту хранилища. По умолчанию этот параметр также позволяет доверенным службам Майкрософт и экземплярам ресурсов получить доступ к учетной записи хранения. Вы можете изменить доступ позже при интеграции периметра безопасности сети.

Обзор действий

  1. Настройте управление API для вызова службы хранилища Azure с помощью управляемого удостоверения.

  2. Заблокируйте доступ публичной сети к учетной записи хранилища.

  3. Создайте профиль периметра безопасности сети и свяжите учетную запись хранения.

  4. Добавьте правило входящего доступа, чтобы разрешить трафик управления API.

  5. Переведите режим доступа сетевого периметра безопасности из переходного в принудительный.

Шаг 1. Настройка управления API для вызова службы хранилища Azure с помощью управляемого удостоверения

Настройте управление API для вызова службы хранилища Azure. Добавьте тестовый API и операцию и настройте политику для аутентификации с использованием управляемого удостоверения API Management.

  1. На портале Azure откройте экземпляр API Management.
  2. Убедитесь, что управляемое удостоверение, назначаемое системой или назначаемое пользователем, включено. Инструкции см. в справке по использованию управляемых удостоверений в службе управления API.
  3. Перейдите к учетной записи хранения и предоставьте доступ к управляемому удостоверению:
    1. В меню слева выберите элемент Управления доступом (IAM)>Добавить назначение ролей.
    2. Выберите роль читатель данных хранилища BLOB (или участник, если требуется доступ на запись) и назначьте его управляемому удостоверению для управления API.
    3. Выполните действия по назначению ролей.

Настройка операции API для вызова службы хранилища Azure

  1. Добавьте HTTP-API, который обеспечивает интерфейс для URI блоба в хранилище Azure (например, https://<storage-account-name>.blob.core.windows.net/apimtest).

  2. Добавьте операцию GET, предназначенную для контейнера. Снимок экрана: пример операции API для доступа к контейнеру BLOB-объектов на портале.

  3. На вкладке "Конструктор " выберите операцию и выберите редактор политик (</>). Измените определение политики операции, чтобы добавить заголовок версии API и проверку подлинности управляемого удостоверения.

В следующем примере :

  • В authentication-managed-identity политике предполагается, что экземпляр службы управления API имеет управляемое удостоверение, назначаемое системой, и может получить доступ к службе хранилища Azure. Чтобы использовать управляемое удостоверение, назначенное пользователем, задайте атрибут client-id в политике. Дополнительные сведения см. в справочнике по политике.

  • Политика set-header задает обязательный заголовок версии REST API хранилища.

    <policies>
	<inbound>
		<base />
		<!-- Authenticate to Storage using API Management managed identity -->
		<authentication-managed-identity resource="https://storage.azure.com/" />
		<!-- Set Storage API version header -->
		<set-header name="x-ms-version" exists-action="override">
			<value>2025-11-05</value>
		</set-header>
	</inbound>
	<backend>
		<forward-request />
	</backend>
	<outbound>
		<base />
	</outbound>
	<on-error>
		<base />
	</on-error>
</policies>

Замечание

  • Значение resource должно быть https://storage.azure.com/ для службы хранилища Azure.
  • Убедитесь, что управляемое удостоверение назначено соответствующей роли RBAC.

Проверка операции API

Перед настройкой периметра безопасности сети проверьте, что операция API может получить доступ к учетной записи хранения.

  1. В меню слева в разделе API выберите API и операцию.
  2. Откройте вкладку Тест.
  3. Выберите "Тестировать " и вызовите операцию. При необходимости выберите "Трассировка ", чтобы записать подробные данные телеметрии.

Ожидаемые результаты:

  • Вызов завершается с ответом 200 OK, который возвращает содержимое BLOB.
  • Если включена трассировка, можно убедиться, что API Management добавило токен управляемого удостоверения в заголовок авторизации.

Шаг 2. Блокировка доступа к общедоступной сети учетной записи хранения

Если вы теперь блокируете доступ общедоступной сети к учетной записи хранения, вызов API из системы управления API завершится ошибкой, так как подключение к доверенной службе отключено.

  1. Войдите в свою учетную запись хранения на портале Azure.
  2. В меню слева в разделе "Безопасность и сеть" выберите "Сеть".
  3. На вкладке "Общедоступный доступ" выберите "Управление". Отключите доступ к общедоступной сети.
  4. Нажмите кнопку "Сохранить".

Проверка операции API

Проверьте, что операция API больше не может получить доступ к учетной записи хранилища.

  1. Войдите в портал Azure и перейдите к вашему экземпляру службы управления API.
  2. В меню слева в разделе API выберите API и операцию.
  3. Откройте вкладку Тест.
  4. Выберите "Тестировать " и вызовите операцию. При необходимости выберите "Трассировка ", чтобы записать подробные данные телеметрии.

Ожидаемый результат:

  • Вызов завершается сбоем с ответом 403 Forbidden .

Шаг 3. Создание профиля периметра безопасности сети и связывание учетной записи хранения

Типичные действия по созданию периметра безопасности сети и связыванию ресурса Azure с профилем см. в статье "Создание периметра и профиля безопасности сети". Краткие действия:

  1. На портале Azure найдите периметры безопасности сети и выберите его.
  2. Выберите +Создать и укажите имя и регион. Примите значения по умолчанию для других параметров и создайте периметр.
  3. После развертывания перейдите на панель Параметры>Связанные ресурсы, чтобы ассоциировать учетную запись хранения с существующим или новым профилем.

Шаг 4. Добавление правила входящего доступа для разрешения трафика управления API

Чтобы разрешить управлению API получить доступ к учетной записи хранения через периметр, добавьте правило для входящего трафика. Самый простой подход — подписка Azure.

  1. В левом меню периметра сетевой безопасности выберите Параметры>Профили, затем выберите профиль, связанный с учетной записью хранения.
  2. В меню слева выберите "Параметры>входящего доступа">+ "Добавить":
    1. Введите имя правила.
    2. Выберите "Подписки исходного типа", а затем в разрешенных источниках выберите подписку, содержащую экземпляр службы управления API.
  3. Нажмите кнопку "Добавить".

Замечание

Если вы выберете управление на основе IP-адреса, укажите диапазон общедоступных исходящих IP-адресов управления API в входящем правиле. Убедитесь, что вы включили все исходящие IP-адреса для вашего экземпляра службы управления API.

Подтверждение конфигурации сети в учетной записи хранения

  1. Войдите в свою учетную запись хранения на портале Azure.
  2. В меню слева в разделе "Безопасность и сеть" выберите "Сеть".
  3. В разделе периметра безопасности сети убедитесь, что учетная запись хранения связана с профилем периметра безопасности сети и указана в списке правила доступа.

Снимок экрана: параметры общедоступного доступа в учетной записи хранения на портале.

Проверка операции API

Проверьте, что операция API может получить доступ к учетной записи хранилища в сетевом периметре безопасности.

  1. Войдите в портал Azure и перейдите к вашему экземпляру службы управления API.
  2. В меню слева в разделе API выберите API и операцию.
  3. Откройте вкладку Тест.
  4. Выберите "Тестировать " и вызовите операцию. При необходимости выберите «Трассировка», чтобы записать подробные данные телеметрии.

Ожидаемый результат:

  • Вызов завершается с ответом 200 OK и возвращает содержимое BLOB.

Шаг 5. Переместите режим доступа в включенный принудительно

Периметр безопасности сети поддерживает следующие режимы доступа:

  • Переход: Применяет существующие параметры сети для каждого ресурса и правила периметра безопасности сети. Этот режим используется по умолчанию при первом связывании ресурса.
  • Принудительно: Применяются только правила сетевого периметра безопасности. Используйте этот режим после проверки доступа.

После проверки доступа в режиме перехода установите режим доступа защитного периметра сети на принудительный. Дополнительные сведения см. в разделе "Действия по настройке свойств publicNetworkAccess и accessMode".

Связанный контент

  • Последнее обновление: