Übersicht über Virtual Network Support

Mithilfe von Azure Virtual NetworkUnterstützung für Power Platform können Sie Power Platform in Ressourcen in Ihr virtuelles Netzwerk integrieren, ohne sie über das öffentliche Internet verfügbar zu gestalten. Die Funktion „Virtual Network Support“ verwendet Azure-Subnetzdelegierung, um den ausgehenden Datenverkehr von Power Platform während der Laufzeit zu verwalten. Durch die Verwendung Azure Subnetzdelegierung müssen geschützte Ressourcen nicht über das Internet zur Integration in Power Platform verfügbar sein. Mithilfe der Unterstützung für virtuelle Netzwerke können Power Platform-Komponenten Ressourcen im Besitz Ihres Unternehmens innerhalb Ihres Netzwerks aufrufen, unabhängig davon, ob sie in Azure oder lokal gehostet werden, und Plug-Ins und Connectors verwenden, um ausgehende Anrufe zu tätigen.

Über öffentliche Netzwerke lässt sich für gewöhnlich eine Integration von Power Platform mit Unternehmensressourcen herstellen. Bei öffentlichen Netzwerken müssen Unternehmensressourcen über eine Liste von Azure IP-Bereichen oder Diensttags zugänglich sein, die öffentliche IP-Adressen beschreiben. Mit Azure Virtual Network Unterstützung für Power Platform können Sie jedoch ein privates Netzwerk verwenden und still in Clouddienste oder Dienste integrieren, die in Ihrem Unternehmensnetzwerk gehostet werden.

Azure Dienste sind innerhalb einer Virtual Network durch Private-Endpunkte geschützt. Sie können Express Route verwenden, um Ihre lokalen Ressourcen innerhalb der Virtual Network zu übertragen.

Power Platform setzt das virtuelle Netzwerk und die von Ihnen delegierten Subnetze ein, um ausgehende Verbindungen zu Unternehmensressourcen über das private Netzwerk des Unternehmens herzustellen. Wenn Sie ein privates Netzwerk verwenden, müssen Sie den Datenverkehr nicht über das öffentliche Internet weiterleiten, wodurch Unternehmensressourcen verfügbar gemacht werden können.

In einem Virtual Network haben Sie die vollständige Kontrolle über den ausgehenden Datenverkehr von Power Platform. Für den Datenverkehr gelten die Netzwerkrichtlinien Ihrer Netzwerksadministrierenden. Das folgende Diagramm zeigt, wie Ressourcen in Ihrem Netzwerk mit einem Virtual Network interagieren.

Screenshot davon, wie Ressourcen innerhalb eines Unternehmensnetzwerks mit einem virtuellen Netzwerk interagieren.

Vorteile von Virtual Network-Support

Mit Unterstützung des virtuellen Netzwerks erhalten Ihre Power Platform- und Dataverse-Komponenten alle Vorteile, die die Azure-Subnetzdelegierung bereitstellt, z. B.:

• Datenschutz: Virtual Network ermöglicht Es Power Platform-Diensten, eine Verbindung mit Ihren privaten und geschützten Ressourcen herzustellen, ohne sie dem Internet verfügbar zu machen.

• Kein unautorisierter Zugriff: Virtual Network verbindet sich mit Ihren Ressourcen, ohne dass Power Platform-IP-Bereiche oder -Diensttags in der Verbindung erforderlich sind.

Schätzen der Subnetzgröße für Power Platform-Umgebungen

Telemetriedaten und Beobachtungen aus dem vergangenen Jahr deuten darauf hin, dass Produktionsumgebungen in der Regel 25 bis 30 IP-Adressen erfordern, wobei die meisten Anwendungsfälle in diesen Bereich fallen. Anhand dieser Informationen weisen Sie 25 bis 30 IPs für Produktionsumgebungen und 6 bis 10 IPs für Nichtproduktionsumgebungen wie Sandkasten- oder Entwicklerumgebungen zu. Container, die mit der Virtual Network verbunden sind, verwenden in erster Linie IP-Adressen innerhalb des Subnetzes. Wenn die Umgebung verwendet wird, erstellt sie mindestens vier Container, die basierend auf dem Anrufvolumen dynamisch skaliert werden, jedoch bleiben sie typischerweise im Bereich von 10 bis 30 Containern. Diese Container führen alle Anforderungen für ihre jeweiligen Umgebungen aus und verarbeiten parallele Verbindungsanforderungen effizient.

Für mehrere Umgebungen planen

Wenn Sie dasselbe delegierte Subnetz für mehrere Power Platform-Umgebungen verwenden, benötigen Sie möglicherweise einen größeren Block von klassenlosen IP-Adressen (Inter-Domain Routing, CIDR). Berücksichtigen Sie die empfohlene Anzahl von IP-Adressen für Produktions- und Nichtproduktionsumgebungen, wenn Sie Umgebungen mit einer einzelnen Richtlinie verknüpfen. Jedes Subnetz reserviert fünf IP-Adressen, nehmen Sie also diese reservierten Adressen in Ihre Schätzung ein.

Beispiel IP-Zuteilung

Stellen Sie sich einen Mandanten mit zwei Unternehmensrichtlinien vor. Die erste Richtlinie gilt für Produktionsumgebungen, und die zweite Richtlinie ist für Nichtproduktionsumgebungen vorgesehen.

Unternehmensrichtlinie für die Produktion

Wenn Sie vier Produktionsumgebungen mit Ihrer Unternehmensrichtlinie verknüpft haben und jede Umgebung 30 IP-Adressen erfordert, lautet die gesamte IP-Zuweisung:

(Vier Umgebungen x 30 IPs) + 5 reservierte IPs = 125 IPs

Für dieses Szenario ist ein CIDR-Block von /25 erforderlich, der eine Kapazität von 128 IPs hat.

Unternehmensrichtlinie für nicht-produktive Tätigkeiten

Für eine Nichtproduktions-Unternehmensrichtlinie mit 20 Entwickler- und Sandkastenumgebungen, und jede Umgebung erfordert 10 IP-Adressen, lautet die gesamte IP-Zuweisung:

(Zwanzig Umgebungen x 10 IPs) + 5 reservierte IPs = 205 IPs

Für dieses Szenario ist ein CIDR-Block von /24 erforderlich, der kapazität für 256 IPs und über genügend Speicherplatz verfügt, um der Unternehmensrichtlinie weitere Umgebungen hinzuzufügen.

Unterstützte Szenarien

Power Platform unterstützt Virtual Network sowohl für Dataverse-Plug-Ins als auch für connectors. Mithilfe dieser Unterstützung können Sie gesicherte, private und ausgehende Konnektivität von Power Platform zu Ressourcen innerhalb Ihrer Virtual Network erstellen. Dataverse Plug-Ins und Connectors verbessern die Datensicherheit bei der Datenintegration, indem sie eine Verbindung mit externen Datenquellen aus Power Apps, Power Automate und Dynamics 365 Apps herstellen. So können Sie beispielsweise Folgendes ausführen:

• Verwenden Sie Dataverse-Plug-Ins, um eine Verbindung mit Ihren Clouddatenquellen herzustellen, z. B. Azure SQL, Azure Storage, BLOB-Speicher oder Azure Key Vault. Sie können Ihre Daten vor Datenexfiltration und anderen Vorfällen schützen.
• Verwenden Sie Dataverse-Plug-Ins, um eine sichere Verbindung mit privaten, endpunktgeschützten Ressourcen in Azure herzustellen, z. B. Web-API oder ressourcen in Ihrem privaten Netzwerk, z. B. SQL und Web-API. Sie können Ihre Daten vor Datenschutzverletzungen und anderen externen Bedrohungen schützen.
• Verwenden Sie Virtual Network-unterstützte Connectors wie SQL Server, um eine sichere Verbindung mit Ihren in der Cloud gehosteten Datenquellen wie Azure SQL oder SQL Server herzustellen, ohne sie für das Internet verfügbar zu machen. Ebenso können Sie Azure Queue Connector verwenden, um sichere Verbindungen mit privaten, endpunktfähigen Azure Warteschlangen herzustellen.
• Verwenden Sie den Azure Key Vault Connector, um sicher mit dem privaten, durch Endpunkte geschützten Azure Key Vault zu verbinden.
• Verwenden Sie custom Connectors, um eine sichere Verbindung mit Ihren Diensten herzustellen, die durch private Endpunkte in Azure oder Diensten geschützt sind, die in Ihrem privaten Netzwerk gehostet werden.
• Verwenden Sie Azure Dateispeicher, um eine sichere Verbindung mit privaten, endpunktfähigen Azure Dateispeicher herzustellen.
• Verwenden Sie HTTP mit Microsoft Entra ID (vorautorisiert), um Ressourcen sicher über virtuelle Netzwerke aus verschiedenen Webdiensten abzurufen, die von Microsoft Entra ID oder von einem lokalen Webdienst authentifiziert wurden.

Einschränkungen

• Dataverse-Low-Code-Plug-Ins, die Konnektoren verwenden, werden erst unterstützt, wenn diese Konnektortypen für die Verwendung der Subnetzdelegierung aktualisiert werden.
• Sie verwenden Kopier-, Sicherungs- und Wiederherstellungsvorgänge im Lebenszyklus der Umgebung in Umgebungen, die durch virtuelle Netzwerke in Power Platform unterstützt werden. Sie können den Wiederherstellungsvorgang innerhalb desselben virtuellen Netzwerks und in verschiedenen Umgebungen ausführen, vorausgesetzt, sie sind mit demselben virtuellen Netzwerk verbunden. Darüber hinaus ist der Wiederherstellungsvorgang aus Umgebungen, die virtuelle Netzwerke nicht unterstützen, in Umgebungen mit solcher Unterstützung zulässig.

Unterstützte Regionen

Bevor Sie Ihre Virtual Network- und Unternehmensrichtlinie erstellen, überprüfen Sie die Region Ihrer Power Platform-Umgebung, um sicherzustellen, dass sie sich in einer unterstützten Region befindet. Sie können das Get-EnvironmentRegion Cmdlet aus dem PowerShell-Modul der Subnetzdiagnose verwenden, um die Regionsinformationen Ihrer Umgebung abzurufen.

Stellen Sie nach der Bestätigung der Region Ihrer Umgebung sicher, dass Ihre Unternehmensrichtlinie und Azure Ressourcen in den entsprechenden unterstützten Azure Regionen konfiguriert sind. Wenn sich Ihre Power Platform-Umgebung beispielsweise im Vereinigten Königreich befindet, müssen sich Ihre Virtual Network und Subnetze in den Regionen uksouth und ukwest Azure befinden. Wenn eine Power Platform-Region mehr als zwei verfügbare Regionspaare aufweist, müssen Sie das bestimmte Regionspaar verwenden, das der Region Ihrer Umgebung entspricht. Wenn Get-EnvironmentRegion beispielsweise westus für Ihre Umgebung zurückgibt, müssen sich Ihre Virtual Network und Subnetze in eastus und westus befinden.

Unterstützte Dienste

In der folgenden Tabelle sind die Dienste aufgeführt, die die Subnetz-Delegierung von Azure für die Unterstützung virtueller Netzwerke der Power Platform unterstützen.

Unterstützte Umgebungen

Virtual Network Unterstützung für Power Platform steht nicht für alle Power Platform-Umgebungen zur Verfügung. In der folgenden Tabelle sind die Umgebungstypen aufgeführt, die Virtual Network unterstützen.

Überlegungen zur Aktivierung der Virtual Network-Unterstützung für die Power Platform-Umgebung

Wenn Sie Unterstützung von virtuellen Netzwerken in einer Power Platform-Umgebung nutzen, führen alle unterstützten Dienste, wie Dataverse-Plug-Ins und Konnektoren, Anforderungen während der Laufzeit in Ihrem delegierten Subnetz aus und unterliegen Ihren Netzwerkrichtlinien. Die Aufrufe zu öffentlich zugänglichen Ressourcen fangen an zu scheitern.

Ein Plug-In kann z. B. versuchen, eine Verbindung mit einem öffentlich verfügbaren Dienst herzustellen, ihre Netzwerkrichtlinie lässt jedoch keinen öffentlichen Internetzugriff innerhalb Ihrer Virtual Network zu. Die Netzwerkrichtlinie blockiert den Anruf vom Plug-In. Um den blockierten Anruf zu vermeiden, können Sie den öffentlich verfügbaren Dienst in Ihrem Virtual Network hosten. Alternativ können Sie, wenn Ihr Dienst in Azure gehostet wird, einen privaten Endpunkt für den Dienst verwenden, bevor Sie Virtual Network Unterstützung in der Power Platform-Umgebung aktivieren.

Häufig gestellte Fragen

Was ist der Unterschied zwischen einem Virtual Network-Datengateway und der Unterstützung des Azure Virtual Network für die Power Platform?

Ein Virtual Network-Datengateway ist ein verwaltetes Gateway, das Sie für den Zugriff auf Azure- und Power Platform-Dienste innerhalb Ihrer Virtual Network verwenden, ohne ein lokales Datengateway einrichten zu müssen. Beispielsweise ist das Gateway für ETL-Workloads (Extrahieren, Transformieren, Laden) in Power BI und Power Platform-Datenflüssen optimiert.

Die Unterstützung von Azure Virtual Network für die Power Platform verwendet eine Azure-Subnetzdelegierung für Ihre Power Platform-Umgebung. Subnetze werden von Workloads innerhalb der Power Platform-Umgebung verwendet. Power Platform-API-Workloads verwenden Virtual Network Unterstützung, da die Anforderungen kurzlebig und für eine große Anzahl von Anforderungen optimiert sind.

In welchen Szenarien sollte ich die Unterstützung für Virtuelle Netzwerke in der Power Platform und das Virtual Network-Daten-Gateway verwenden?

Virtual Network Unterstützung für Power Platform ist die einzige unterstützte Option für alle Szenarien für ausgehende Konnektivität von Power Platform außer Power BI und Power Platform Dataflows.

Power BI und Power Platform dataflows verwenden weiterhin virtual Network (vNet)-Datengateway.

Wie können Sie sicherstellen, dass ein virtuelles Netzwerksubnetz oder -datengateway einer bestimmten Kundschaft nicht von einer anderen in Power Platform verwendet wird?

• Die Unterstützung von Virtual Networks für die Power Platform verwendet die Delegierung des Azure-Subnetzes.

• Jede Power Platform-Umgebung ist mit einem virtuellen Netzwerksubnetz verknüpft. Nur Aufrufe aus dieser Umgebung dürfen auf dieses virtuelle Netzwerk zugreifen.

• Mit der Delegierung können Sie ein bestimmtes Subnetz für jede Azure Plattform als Dienst (PaaS) festlegen, die in Ihr virtuelles Netzwerk eingefügt werden muss.

Unterstützt das virtuelle Netzwerk ein Power Platform-Failover?

Ja, Sie müssen die virtuellen Netzwerke für beide Azure Regionen delegieren, die Ihrer Power Platform-Region zugeordnet sind. Wenn sich Ihre Power Platform Umgebung beispielsweise in Kanada befindet, müssen Sie virtuelle Netzwerke in CanadaCentral und CanadaEast erstellen, delegieren und konfigurieren.

Wie kann eine Power Platform-Umgebung in einer Region eine Verbindung zu Ressourcen herstellen, die in einer anderen Region gehostet werden?

Ein virtuelles Netzwerk, das mit einer Power Platform-Umgebung verknüpft ist, muss sich in der Region der Power Platform-Umgebung befinden. Wenn sich das Virtuelle Netzwerk in einer anderen Region befindet, erstellen Sie ein Virtuelles Netzwerk in der Region der Power Platform-Umgebung, und verwenden Sie Virtual Network Peering für die in der Azure-Region subnetzdelegierten Virtuellen Netzwerke, um die Lücke mit dem Virtuellen Netzwerk in der separaten Region zu schließen.

Kann ich den ausgehenden Datenverkehr von delegierten Subnetzen überwachen?

Ja Sie können Netzwerksicherheitsgruppen und Firewalls verwenden, um den ausgehenden Datenverkehr von delegierten Subnetzen zu überwachen. Weitere Informationen finden Sie unter Monitor Azure Virtual Network.

Kann ich internetgebundene Anrufe von Plug-Ins oder Konnektoren aus tätigen, nachdem meine Umgebung an das Subnetz delegiert wurde?

Ja Der internetgebundener Zugriff ist standardmäßig über Plug-Ins und Connectors in einer subnetzdelegierten Umgebung verfügbar. Es wird empfohlen, ein Azure NAT-Gateway an das delegierte Subnetz anzufügen, damit Ihre Organisation den ausgehenden Zugriff steuern und sichern kann. Weitere Informationen finden Sie unter Bewährte Methoden zum Sichern ausgehender Verbindungen von Power Platform-Diensten.

Kann ich den Subnetz-IP-Adressbereich aktualisieren, nachdem er an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde?

Nein, nicht, solange die Funktion in Ihrer Umgebung verwendet wird. Sie können den IP-Adressbereich des Subnetzes nicht mehr ändern, nachdem es an „Microsoft.PowerPlatform/enterprisePolicies“ delegiert wurde. In diesem Fall wird die Delegierungskonfiguration unterbrochen und die Umgebung funktioniert nicht mehr. Um den IP-Adressbereich zu ändern, entfernen Sie das Delegierungsfeature aus Ihrer Umgebung, nehmen Sie die erforderlichen Änderungen vor, und aktivieren Sie dann das Feature für Ihre Umgebung.

Kann ich die DNS-Adresse meiner Virtual Network aktualisieren, nachdem sie an "Microsoft.PowerPlatform/enterprisePolicies" delegiert wurde?

Nein, nicht, solange die Funktion in Ihrer Umgebung verwendet wird. Sie können die DNS-Adresse des Virtual Network nicht ändern, nachdem sie an "Microsoft.PowerPlatform/enterprisePolicies" delegiert wurde. Wenn Sie dies tun, wird die Änderung nicht in der Konfiguration aufgenommen, und Ihre Umgebung funktioniert möglicherweise nicht mehr. Um die DNS-Adresse zu ändern, entfernen Sie das Delegierungsfeature aus Ihrer Umgebung, nehmen Sie die erforderlichen Änderungen vor, und aktivieren Sie dann das Feature für Ihre Umgebung.

Kann ich dieselbe Unternehmensrichtlinie für mehrere Power Platform-Umgebungen verwenden?

Ja Sie können dieselbe Unternehmensrichtlinie für mehrere Power Platform-Umgebungen verwenden. Es gilt jedoch die Einschränkung, dass Umgebungen für den Vorabveröffentlichungszyklus nicht mit derselben Unternehmensrichtlinie wie andere Umgebungen verwendet werden können.

Mein Virtual Network hat ein benutzerdefiniertes DNS konfiguriert. Verwendet Power Platform mein benutzerdefiniertes DNS?

Ja Power Platform verwendet das benutzerdefinierte DNS, das in dem virtuellen Netzwerk konfiguriert ist, welches das delegierte Subnetz enthält, um alle Endpunkte aufzulösen. Nachdem die Umgebung delegiert ist, können Sie die Plug-Ins aktualisieren, um den richtigen Endpunkt zu verwenden, damit Ihr benutzerdefiniertes DNS ihn auflösen kann.

Meine Umgebung verfügt über vom ISV bereitgestellte Plug-Ins. Würden diese Plug-Ins im delegierten Subnetz ausgeführt werden?

Ja Alle Kunden-Plug-Ins und ISV-Plug-Ins können mit Ihrem Subnetz ausgeführt werden. Wenn die ISV-Plug-Ins über eine Ausgangskonnektivität verfügen, müssen diese URLs möglicherweise in Ihrer Firewall aufgeführt sein.

Meine lokalen Endpunkt-TLS-Zertifikate sind nicht von bekannten Stammzertifizierungsstellen (ZS) signiert. Unterstützen Sie unbekannte Zertifikate?

Nein. Wir müssen sicherstellen, dass der Endpunkt ein TLS-Zertifikat mit der vollständigen Kette vorlegt. Ihre benutzerdefinierte Stammzertifizierungsstelle kann nicht zu unserer Liste bekannter Zertifizierungsstellen hinzugefügt werden.

Was ist die empfohlene Einrichtung eines virtuellen Netzwerks in einem Kundenmandanten?

Wir empfehlen keine bestimmte Topologie. Unsere Kunden verwenden jedoch die Hub-Spoke-Netzwerktopologie in Azure.

Ist das Verknüpfen eines Azure Abonnements mit meinem Power Platform-Mandanten erforderlich, um Virtual Network zu aktivieren?

Ja, um Virtual Network Unterstützung für Power Platform-Umgebungen zu aktivieren, ist es wichtig, ein Azure Abonnement dem Power Platform-Mandanten zugeordnet zu haben.

Wie verwendet Power Platform Azure Subnetzdelegierung?

Wenn einer Power Platform-Umgebung ein delegiertes Azure Subnetz zugewiesen ist, wird Azure Virtual Network-Integration verwendet, um den Container zur Laufzeit in das delegierte Subnetz einzubinden. Während dieses Vorgangs wird einer Netzwerkschnittstellenkarte (NIC) des Containers eine IP-Adresse aus dem delegierten Subnetz zugewiesen. Die Kommunikation zwischen dem Host (Power Platform) und dem Container erfolgt über einen lokalen Port auf dem Container, und der Datenverkehr fließt über Azure Fabric.

Kann ich ein vorhandenes virtuelles Netzwerk für Power Platform verwenden?

Ja, Sie können ein vorhandenes virtuelles Netzwerk für die Power Platform verwenden, wenn ein einzelnes, neues Subnetz innerhalb des virtuellen Netzwerks speziell für die Power Platform delegiert wird. Sie müssen das delegierte Subnetz für die Subnetzdelegierung reservieren und es nicht für andere Zwecke verwenden.

Kann ich dasselbe delegierte Subnetz in mehreren Unternehmensrichtlinien wiederverwenden?

Nein. Sie können dasselbe Subnetz nicht in mehreren Unternehmensrichtlinien wiederverwenden. Jede Power Platform Unternehmensrichtlinie muss über ein eigenes, eindeutiges Subnetz für die Delegierung verfügen.

Was ist ein Dataverse-Plug-In?

Ein Dataverse-Plug-In ist ein Teil von benutzerdefiniertem Code, den Sie in einer Power Platform-Umgebung bereitstellen können. Sie können dieses Plug-In so konfigurieren, dass es während Ereignissen ausgeführt wird (z. B. eine Änderung in Daten), oder sie als benutzerdefinierte API auslösen. Weitere Informationen finden Sie unter Dataverse-Plug-Ins.

Wie wird ein Dataverse-Plug-In ausgeführt?

Ein Dataverse-Plug-In wird in einem Container ausgeführt. Wenn Sie einer Power Platform-Umgebung ein delegiertes Subnetz zuweisen, erhält die Netzwerkschnittstellenkarte (Network Interface Card, NIC) des Containers eine IP-Adresse aus dem Adressraum dieses Subnetzes. Der Host (Power Platform) und der Container kommunizieren über einen lokalen Port auf dem Container, und der Datenverkehr fließt über Azure Fabric.

Können mehrere Plug-Ins im selben Container ausgeführt werden?

Ja In einer bestimmten Power Platform- oder Dataverse-Umgebung können mehrere Plug-Ins innerhalb desselben Containers ausgeführt werden. Jeder Container verwendet eine IP-Adresse aus dem Subnetzadressraum, und jeder Container kann mehrere Anforderungen ausführen.

Wie bewältigt die Infrastruktur eine Zunahme gleichzeitiger Plug-In-Ausführungen?

Wenn die Anzahl gleichzeitiger Plug-In-Ausführungen zunimmt, wird die Infrastruktur automatisch nach oben oder unten skaliert, um der Auslastung gerecht zu werden. Das an eine Power Platform-Umgebung delegierte Subnetz sollte über genügend Adressräume verfügen, um das Spitzenvolumen an Ausführungen für die Workloads in dieser Power Platform-Umgebung bewältigen zu können.

Wer steuert die damit verbundenen Virtual Network- und Netzwerkrichtlinien?

Sie verfügen über Besitz und Kontrolle über die Virtual Network und die zugehörigen Netzwerkrichtlinien. Andererseits verwendet Power Platform die zugeordneten IP-Adressen aus dem delegierten Subnetz innerhalb dieses Virtual Network.

Unterstützen Azure fähige Plug-Ins Virtual Network?

Nein, Azure fähigen Plug-Ins unterstützen Virtual Network nicht.

Nächste Schritte,

Einrichtung der Unterstützung für Virtual Network

Verwandte Inhalte

Fehlerbehebung bei virtuellen Netzwerkproblemen