Overzicht van Microsoft Azure VNet-ondersteuning

Met behulp van Azure Virtual Network (VNet)-ondersteuning voor Power Platform kunt u Power Platform integreren met resources in uw virtuele netwerk zonder ze beschikbaar te maken via het openbare internet. VNet-ondersteuning maakt gebruik van Azure subnetdelegering om uitgaand verkeer van Power Platform tijdens runtime te beheren. Met behulp van Azure subnetdelegering hoeven beveiligde resources niet beschikbaar te zijn via internet om te integreren met Power Platform. Met behulp van VNet-ondersteuning kunnen Power Platform-onderdelen resources aanroepen die eigendom zijn van uw bedrijf in uw netwerk, ongeacht of ze worden gehost in Azure of on-premises, en plug-ins en connectors gebruiken om uitgaande oproepen uit te voeren.

Doorgaans integreert Power Platform met bedrijfsresources via openbare netwerken. Met openbare netwerken moeten ondernemingsresources toegankelijk zijn vanuit een lijst met Azure IP-bereiken of servicetags, die openbare IP-adressen beschrijven. Met VNet-ondersteuning voor Power Platform kunt u echter een privénetwerk gebruiken en toch integreren met cloudservices of -services die worden gehost in uw bedrijfsnetwerk.

Azure services worden beveiligd binnen een virtueel netwerk door privé-eindpunten. U kunt ExpressRoute gebruiken om uw on-premises resources binnen het virtuele netwerk te brengen.

Power Platform maakt gebruik van de VNet-service en subnetten die u delegeert om uitgaande aanroepen naar ondernemingsresources uit te voeren via het particuliere bedrijfsnetwerk. Als u een particulier netwerk gebruikt, hoeft u het verkeer niet via het openbare internet te routeren, waardoor ondernemingsresources kunnen worden weergegeven.

In een virtueel netwerk hebt u volledige controle over het uitgaande verkeer van Power Platform. De netwerkbeheerder past netwerkbeleid toe op het verkeer. In het volgende diagram ziet u hoe resources in uw netwerk communiceren met een virtueel netwerk.

Voordelen van Azure VNet-ondersteuning

Door VNet-ondersteuning te gebruiken, krijgen uw Power Platform- en Dataverse-onderdelen alle voordelen die Azure subnetdelegering biedt, zoals:

• Gegevensbeveiliging: Met VNet-ondersteuning kunnen Power Platform-services verbinding maken met uw privé- en beveiligde resources zonder ze beschikbaar te maken op internet.

• Geen onbevoegde toegang: VNet-ondersteuning maakt verbinding met uw resources zonder dat ip-bereiken of servicetags van Power Platform in de verbinding nodig zijn.

Subnetgrootte schatten voor Power Platform omgevingen

Telemetriegegevens en waarnemingen uit het afgelopen jaar geven aan dat productieomgevingen doorgaans 25 tot 30 IP-adressen vereisen, waarbij de meeste gebruiksscenario's binnen dit bereik vallen. Wijs op basis van deze informatie 25 tot 30 IP-adressen toe voor productieomgevingen en 6 tot 10 IP-adressen voor niet-productieomgevingen, zoals sandbox- of ontwikkelaarsomgevingen. Containers die zijn verbonden met het virtuele netwerk gebruiken voornamelijk IP-adressen binnen het subnet. Wanneer de omgeving wordt gebruikt, worden er minimaal vier containers gecreëerd, die dynamisch worden geschaald op basis van het aanroepvolume, hoewel ze meestal tussen de 10 en 30 containers blijven. Deze containers voeren alle aanvragen voor hun respectieve omgevingen uit en verwerken efficiënt parallelle verbindingsaanvragen.

Planning voor meerdere omgevingen

Als u hetzelfde gedelegeerde subnet gebruikt voor meerdere Power Platform-omgevingen, hebt u mogelijk een groter blok met CIDR-IP-adressen (Classless Inter-Domain Routing) nodig. Houd rekening met het aanbevolen aantal IP-adressen voor productie- en niet-productieomgevingen wanneer u omgevingen koppelt aan één beleid. Elk subnet reserveert vijf IP-adressen, dus neem deze gereserveerde adressen op in uw schatting.

Voorbeeld van IP-toewijzing

Denk aan een tenant met twee bedrijfsbeleidsregels. Het eerste beleid is voor productieomgevingen en het tweede beleid is voor niet-productieomgevingen.

Productiebedrijfsbeleid

Als er vier productieomgevingen zijn gekoppeld aan uw bedrijfsbeleid en elke omgeving 30 IP-adressen vereist, is de totale IP-toewijzing:

(Vier omgevingen x 30 IP's) + 5 gereserveerde IP-adressen = 125 IP-adressen

Voor dit scenario is een CIDR-blok van /25 nodig, met een capaciteit van 128 IP-adressen.

Niet-productieve bedrijfsbeleid

Voor een niet-productie ondernemingsbeleid met 20 ontwikkelaars- en sandboxomgevingen en elke omgeving vereist 10 IP-adressen, is de totale IP-toewijzing:

(Twintig omgevingen x 10 IP's) + 5 gereserveerde IP-adressen = 205 IP-adressen

Voor dit scenario is een CIDR-blok van /24 vereist, dat capaciteit heeft voor 256 IP-adressen en voldoende ruimte heeft om meer omgevingen toe te voegen aan het bedrijfsbeleid.

Ondersteunde scenario's

Power Platform ondersteunt VNet voor zowel Dataverse-invoegtoepassingen als connectors. Met behulp van deze ondersteuning kunt u beveiligde, privé- en uitgaande connectiviteit maken van Power Platform naar resources binnen uw virtuele netwerk. Dataverse-invoegtoepassingen en -connectors verbeteren de beveiliging van gegevensintegratie door verbinding te maken met externe gegevensbronnen vanuit Power Apps, Power Automate en Dynamics 365-apps. U kunt bijvoorbeeld het volgende doen:

• Gebruik Dataverse-invoegtoepassingen om verbinding te maken met uw cloudgegevensbronnen, zoals Azure SQL, Azure Storage, blobopslag of Azure Key Vault. U kunt uw gegevens beschermen tegen gegevensexfiltratie en andere incidenten.
• Gebruik Dataverse-invoegtoepassingen om veilig verbinding te maken met privé- en eindpuntbeveiligingsbronnen in Azure, zoals web-API, of resources in uw privénetwerk, zoals SQL en web-API. U kunt uw gegevens beschermen tegen datalekken en andere bedreigingen.
• Gebruik connectors die door virtuele netwerken worden ondersteund, zoals SQL Server, om veilig verbinding te maken met uw in de cloud gehoste gegevensbronnen, zoals Azure SQL of SQL Server, zonder ze bloot te stellen aan internet. Op dezelfde manier kunt u Azure Queue-connector gebruiken om beveiligde verbindingen tot stand te brengen met privé- Azure wachtrijen met eindpunten.
• Gebruik Azure Key Vault-connector om veilig verbinding te maken met persoonlijke, met eindpunt beveiligde Azure Key Vault.
• Gebruik custom-connectors om veilig verbinding te maken met uw services die worden beveiligd door privé-eindpunten in Azure of services die worden gehost in uw privénetwerk.
• Gebruik Azure File Storage om veilig verbinding te maken met privé- Azure bestandsopslag met eindpunten.
• Gebruik HTTP met Microsoft Entra ID (vooraf geverifieerd) om resources veilig op te halen via virtuele netwerken van verschillende webservices, geverifieerd door Microsoft Entra ID of vanuit een on-premises webservice.

Beperkingen

• Dataverse-invoegtoepassingen met weinig code die gebruikmaken van connectors worden pas ondersteund als deze connectortypen worden bijgewerkt voor gebruik van subnetdelegering.
• U maakt gebruik van kopieer-, back-up- en herstelbewerkingen voor de omgevingslevenscyclus in door virtuele netwerken ondersteunde Power Platform-omgevingen. U kunt de herstelbewerking uitvoeren binnen hetzelfde virtuele netwerk en in verschillende omgevingen, mits ze zijn verbonden met hetzelfde virtuele netwerk. Bovendien is de herstelbewerking vanuit omgevingen toegestaan die geen virtuele netwerken ondersteunen, naar omgevingen die dat wel doen.

Ondersteunde regio’s

Voordat u uw virtuele netwerk en ondernemingsbeleid maakt, valideert u de regio van uw Power Platform-omgeving om ervoor te zorgen dat deze zich in een ondersteunde regio bevindt. Gebruik de Get-EnvironmentRegion cmdlet uit de PowerShell-module met diagnostische gegevens van het subnet om de regiogegevens van uw omgeving op te halen.

Nadat u de regio van uw omgeving hebt bevestigd, moet u ervoor zorgen dat u uw bedrijfsbeleid en Azure resources configureert in de bijbehorende ondersteunde Azure regio's. Als uw Power Platform-omgeving zich bijvoorbeeld in het Verenigd Koninkrijk bevindt, moeten uw virtuele netwerk en subnetten zich in de uksouth- en ukwest-Azure regio's bevinden. Als een Power Platform-regio meer dan twee beschikbare regioparen heeft, moet u het specifieke regiopaar gebruiken dat overeenkomt met de regio van uw omgeving. Als Get-EnvironmentRegion bijvoorbeeld westus voor uw omgeving wordt geretourneerd, moeten uw virtuele netwerk en subnetten zich in eastus en westus bevinden.

Ondersteunde services

De volgende tabel bevat de services die ondersteuning bieden voor Azure subnetdelegering voor VNet-ondersteuning voor Power Platform.

Ondersteunde omgevingen

VNet-ondersteuning voor Power Platform is niet beschikbaar voor alle Power Platform-omgevingen. In de volgende tabel ziet u welke omgevingstypen VNet ondersteunen.

Overwegingen voor het inschakelen van VNet-ondersteuning voor de Power Platform-omgeving

Wanneer u VNet-ondersteuning gebruikt in een Power Platform-omgeving, worden alle ondersteunde services, zoals Dataverse-invoegtoepassingen en -connectors, tijdens runtime uitgevoerd in uw gedelegeerde subnet en zijn ze onderhevig aan uw netwerkbeleid. De aanroepen naar openbaar beschikbare resources worden onderbroken.

Een invoegtoepassing kan bijvoorbeeld proberen verbinding te maken met een openbaar beschikbare service, maar uw netwerkbeleid staat geen openbare internettoegang binnen uw virtuele netwerk toe. Het netwerkbeleid blokkeert de aanroep van de invoegtoepassing. Om de geblokkeerde aanroep te voorkomen, kunt u de openbaar beschikbare service in uw virtuele netwerk hosten. Als uw service wordt gehost in Azure, kunt u ook een privé-eindpunt in de service gebruiken voordat u VNet-ondersteuning inschakelt in de Power Platform-omgeving.

Veelgestelde vragen

Wat is het verschil tussen een gegevensgateway voor een virtueel netwerk en VNet-ondersteuning voor Power Platform?

Een gegevensgateway voor een virtueel netwerk is een beheerde gateway die u gebruikt voor toegang tot Azure- en Power Platform-services vanuit uw virtuele netwerk zonder dat u een on-premises gegevensgateway hoeft in te stellen. De gateway is bijvoorbeeld geoptimaliseerd voor ETL-workloads (extraheren, transformeren, laden) in Power BI- en Power Platform-gegevensstromen.

Azure VNet-ondersteuning voor Power Platform maakt gebruik van een Azure-subnetdelegering voor uw Power Platform-omgeving. Subnetten worden gebruikt door werklasten in de Power Platform-omgeving. Power Platform API-workloads maken gebruik van VNet-ondersteuning omdat de aanvragen kortlevend zijn en zijn geoptimaliseerd voor een groot aantal aanvragen.

Wat zijn de scenario's waarin ik VNet-ondersteuning moet gebruiken voor Power Platform en de gegevensgateway van het virtuele netwerk?

VNet-ondersteuning voor Power Platform is de enige ondersteunde optie voor alle scenario's voor uitgaande connectiviteit vanuit Power Platform, met uitzondering van Power BI- en Power Platform-gegevensstromen.

Power BI en Power Platform-gegevensstromen blijven gegevensgateway voor virtueel netwerk (VNet) gebruiken.

Hoe zorgt u ervoor dat een virtueel netwerksubnet of gegevensgateway van de ene klant in Power Platform niet door een andere klant wordt gebruikt?

• VNet-ondersteuning voor Power Platform maakt gebruik van Azure subnetdelegering.

• Elke Power Platform-omgeving is aan één virtueel netwerksubnet gekoppeld. Alleen aanroepen uit die omgeving hebben toegang tot dat virtuele netwerk.

• Met delegatie kunt u een specifiek subnet aanwijzen voor elk Azure PaaS (Platform as a Service) dat moet worden geïnjecteerd in uw virtuele netwerk.

Biedt VNet-ondersteuning voor Power Platform-failover?

Ja, u moet de virtuele netwerken delegeren voor beide Azure regio's die zijn gekoppeld aan uw Power Platform-regio. Als uw Power Platform-omgeving zich bijvoorbeeld in Canada bevindt, moet u virtuele netwerken maken, delegeren en configureren in CanadaCentral en CanadaEast.

Hoe kan een Power Platform-omgeving in de ene regio verbinding maken met resources die in een andere regio worden gehost?

Een virtueel netwerk dat is gekoppeld aan een Power Platform-omgeving, moet zich in de regio van de Power Platform-omgeving bevinden. Als het virtuele netwerk zich in een andere regio bevindt, maakt u een virtueel netwerk aan in de regio van de Power Platform-omgeving en gebruikt u VNet-peering op de gedelegeerde virtuele netwerken van beide Azure-regio’s om de verbinding te maken met het virtuele netwerk in de afzonderlijke regio.

Kan ik uitgaand verkeer van gedelegeerde subnetten controleren?

Ja. U kunt een netwerkbeveiligingsgroep en firewalls gebruiken om uitgaand verkeer van gedelegeerde subnetten te bewaken. Zie Monitor Azure Virtual Network voor meer informatie.

Kan ik vanuit invoegtoepassingen of connectors uitgaande internetaanroepen uitvoeren nadat mijn omgeving aan een subnet is gedelegeerd?

Ja. Internetgebonden toegang is standaard beschikbaar via invoegtoepassingen en connectors in een subnetgedelegeerde omgeving. Koppel een Azure NAT-gateway aan het gedelegeerde subnet, zodat uw organisatie uitgaande toegang kan beheren en beveiligen. Zie De aanbevolen procedures voor het beveiligen van uitgaande verbindingen van Power Platform-services voor meer informatie.

Kan ik het IP-adresbereik van het subnet bijwerken nadat het is gedelegeerd aan Microsoft.PowerPlatform/enterprisePolicies?

Nee, niet zolang de functie in uw omgeving wordt gebruikt. U kunt het IP-adresbereik van het subnet niet wijzigen nadat het is gedelegeerd aan 'Microsoft. PowerPlatform/enterprisePolicies. Als u het IP-adresbereik wijzigt, werkt de delegeringsconfiguratie niet meer en werkt de omgeving niet meer. Als u het IP-adresbereik wilt wijzigen, gebruikt u Disable-SubnetInjection, voert u de benodigde wijzigingen aan en schakelt u de functie voor uw omgeving in.

Kan ik het DNS-adres van mijn virtuele netwerk bijwerken nadat het is gedelegeerd aan Microsoft.PowerPlatform/enterprisePolicies?

Nee, niet zolang de functie in uw omgeving wordt gebruikt. U kunt het DNS-adres van het virtuele netwerk niet wijzigen nadat het is gedelegeerd aan Microsoft.PowerPlatform/enterprisePolicies. Als u het DNS-adres wijzigt, wordt de wijziging niet opgehaald in de configuratie en werkt uw omgeving mogelijk niet meer. Als u het DNS-adres wilt wijzigen, gebruikt u Disable-SubnetInjection om al uw omgevingen los te koppelen van het beleid, brengt u de benodigde updates aan uw VNet aan, wacht u 30 minuten om ervoor te zorgen dat uw wijzigingen worden doorgegeven en voert u de subnetinjectie opnieuw uit met behulp van Enable-SubnetInjection.

Kan ik hetzelfde ondernemingsbeleid gebruiken voor meerdere Power Platform-omgevingen?

Ja. U kunt hetzelfde ondernemingsbeleid gebruiken voor meerdere Power Platform-omgevingen. Er geldt echter een beperking: omgevingen met een vroege releasecyclus kunnen niet worden gebruikt met hetzelfde bedrijfsbeleid als andere omgevingen.

Mijn virtuele netwerk heeft een aangepaste DNS geconfigureerd. Gebruikt Power Platform mijn aangepaste DNS?

Ja. Power Platform maakt gebruik van de aangepaste DNS die u configureert in het virtuele netwerk dat het gedelegeerde subnet bevat om alle eindpunten op te lossen. Nadat u de omgeving hebt gedelegeerd, kunt u invoegtoepassingen bijwerken om het juiste eindpunt te gebruiken, zodat uw aangepaste DNS deze kan oplossen.

Mijn omgeving bevat door ISV's geleverde invoegtoepassingen. Worden deze invoegtoepassingen uitgevoerd in het gedelegeerde subnet?

Ja. Alle invoegtoepassingen van klanten en ISV-invoegtoepassingen kunnen worden uitgevoerd met behulp van uw subnet. Als de ISV-invoegtoepassingen uitgaande connectiviteit hebben, moet u deze URL's mogelijk vermelden in uw firewall.

Mijn on-premises TLS-certificaat-eindpunten zijn niet ondertekend door bekende basiscertificeringsinstanties (CA). Ondersteunt u onbekende certificaten?

Nee Power Platform vereist dat het eindpunt een TLS-certificaat met de volledige keten presenteert. U kunt uw aangepaste basis-CA niet toevoegen aan de lijst met bekende CA's.

Wat is de aanbevolen installatie van een virtueel netwerk binnen een klanttenant?

Power Platform raadt geen specifieke topologie aan. Klanten gebruiken echter veel de hub-spoke-netwerktopologie in Azure.

Is het koppelen van een Azure-abonnement aan mijn Power Platform-tenant nodig om VNet-ondersteuning te activeren?

Ja, als u VNet-ondersteuning voor Power Platform-omgevingen wilt inschakelen, moet u een Azure-abonnement koppelen aan de Power Platform-tenant.

Hoe gebruikt Power Platform Azure subnetdelegering?

Wanneer u een gedelegeerd Azure subnet toewijst aan een Power Platform-omgeving, wordt VNet-injectie gebruikt om de container tijdens runtime in het gedelegeerde subnet te injecteren. Tijdens dit proces krijgt de netwerkinterfacekaart (NIC) van de container een IP-adres van het gedelegeerde subnet. De host (Power Platform) en de container communiceren via een lokale poort op de container en het verkeer loopt via Azure Fabric.

Kan ik een bestaand virtueel netwerk gebruiken voor Power Platform?

Ja, u kunt een bestaand virtueel netwerk voor Power Platform gebruiken als u één nieuw subnet in het virtuele netwerk specifiek delegert aan Power Platform. U moet het gedelegeerde subnet voor subnetdelegering wijden en mag het niet gebruiken voor andere doeleinden.

Kan ik hetzelfde gedelegeerde subnet in meerdere bedrijfsbeleidsregels gebruiken?

Nee U kunt hetzelfde subnet niet opnieuw gebruiken in meerdere bedrijfsbeleidsregels. Elk Power Platform-bedrijfsbeleidsregel moet een eigen uniek subnet voor delegatie hebben.

Wat is een Dataverse-invoegtoepassing?

Een Dataverse-invoegtoepassing is een stukje aangepaste code dat u in een Power Platform-omgeving kunt implementeren. U kunt deze invoegtoepassing configureren om uit te voeren tijdens gebeurtenissen (zoals een wijziging in gegevens) of deze te activeren als een aangepaste API. Zie Dataverse-invoegtoepassingen voor meer informatie.

Hoe werkt een Dataverse-invoegtoepassing?

Een Dataverse-invoegtoepassing wordt uitgevoerd in een container. Wanneer u een gedelegeerd subnet toewijst aan een Power Platform-omgeving, haalt de netwerkinterfacekaart (NIC) van de container een IP-adres op uit de adresruimte van dat subnet. De host (Power Platform) en de container communiceren via een lokale poort op de container en het verkeer loopt via Azure Fabric.

Kunnen meerdere invoegtoepassingen worden uitgevoerd binnen dezelfde container?

Ja. In een bepaalde Power Platform- of Dataverse-omgeving kunnen meerdere invoegtoepassingen binnen dezelfde container worden uitgevoerd. Elke container gebruikt één IP-adres uit de subnetadresruimte en elke container kan meerdere aanvragen uitvoeren.

Hoe verwerkt de infrastructuur een toename in gelijktijdige uitvoeringen van invoegtoepassingen?

Naarmate het aantal gelijktijdige uitvoeringen van invoegtoepassingen toeneemt, wordt de infrastructuur automatisch uitgeschaald of ingeschaald om de belasting aan te kunnen. Het subnet dat aan een Power Platform-omgeving wordt gedelegeerd, moet voldoende adresruimten hebben om het piekvolume van uitvoeringen voor de werklasten in die Power Platform-omgeving te kunnen verwerken.

Wie bepaalt het gekoppelde virtuele netwerk- en netwerkbeleid?

U hebt het eigendom en de controle over het virtuele netwerk en het bijbehorende netwerkbeleid. Aan de andere kant gebruikt Power Platform de toegewezen IP-adressen van het gedelegeerde subnet binnen dat virtuele netwerk.

Ondersteunen Azure-compatibele plug-ins VNet?

Nee, plug-ins met Azure-integratie ondersteunen geen VNet.

Volgende stappen

VNet-ondersteuning instellen

Verwante inhoud

VNet-problemen oplossen