Suporte da Rede Virtual para o white paper

Sua organização pode usar Azure Virtual Network para garantir que seus serviços do Power Platform operem em um ambiente de rede seguro e controlado, reduzindo o risco de violações de dados e acesso não autorizado. Este white paper fornece uma análise detalhada do suporte Azure Virtual Network no Power Platform. Ele destaca os principais benefícios, descreve o processo de implementação e a arquitetura técnica, discute casos de uso do mundo real e oferece insights práticos de um estudo de caso bem-sucedido. É um recurso valioso para profissionais de TI e tomadores de decisão que buscam aprimorar a segurança de rede e a eficiência operacional.

Principais benefícios

• Segurança aprimorada: hospede serviços do Power Platform em uma rede segura, protegendo dados confidenciais contra acesso não autorizado e possíveis violações.

• Conectividade aprimorada: estabelecer conexões seguras e confiáveis entre os serviços do Power Platform e outros recursos do Azure, aprimorando a conectividade geral.

• Gerenciamento de rede simplificado: simplifique o gerenciamento de rede com uma abordagem centralizada e consistente para configurar e gerenciar configurações de rede para serviços do Power Platform.

• Escalabilidade: dimensione serviços do Power Platform de forma eficiente, garantindo que os recursos de rede possam crescer de acordo com as necessidades do negócio.

• Conformidade: atenda aos requisitos normativos e de conformidade para segurança de rede e proteção de dados.

Tela de fundo

Microsoft Power Platform é uma plataforma líder de baixo código/sem código que capacita as pessoas a criar aplicativos, automatizar fluxos de trabalho e analisar dados, mesmo que não sejam desenvolvedores profissionais, para criar soluções personalizadas adaptadas a necessidades de negócios específicas, promover a inovação e aumentar a produtividade. O Power Platform abrange os seguintes serviços da Microsoft:

• O Dataverse serve como a plataforma de dados subjacente, fornecendo um ambiente seguro e escalável para armazenar e gerenciar dados.
• Power Apps oferece uma interface amigável para a criação de aplicativos personalizados.
• Power Automate oferece uma interface de arrastar e soltar para automatizar tarefas repetitivas e fluxos de trabalho.
• Power BI oferece recursos robustos de visualização e análise de dados.
• Power Pages oferece uma interface amigável para a criação de sites de nível profissional.
• Copilot Studio facilita a criação de bots e agentes inteligentes sem conhecimento aprofundado da engenharia de IA.

A integração desses componentes com recursos de Azure usando redes virtuais aprimora a funcionalidade e a segurança gerais do Power Platform. As redes virtuais fornecem um ambiente de rede seguro e isolado no qual os serviços do Power Platform podem operar, permitindo que sua organização controle e gerencie o tráfego de rede, garantindo que os dados sejam protegidos em conformidade com os requisitos regulatórios.

Segurança de rede e integração de Virtual Network

A segurança da rede é um aspecto crítico de qualquer infraestrutura digital. Proteger o tráfego de saída dos serviços do Power Platform é essencial para evitar acesso não autorizado, violações de dados e outras ameaças à segurança. A integração das Redes Virtuais desempenha um papel vital. Ao fornecer um caminho seguro para a transmissão de dados e garantir que todo o tráfego dos serviços do Power Platform seja roteado por meio de um ambiente de rede controlado e monitorado, isso reduz o risco de exposição a possíveis ameaças.

Implementando Virtual Network suporte, sua organização pode impor políticas de segurança rigorosas, monitorar o tráfego de rede e detectar anomalias em tempo real. Esse nível de controle é crucial para manter a integridade e a confidencialidade dos dados sensíveis. Ao mesmo tempo, a integração com a Virtual Network simplifica sua arquitetura de rede geral e melhora a confiabilidade ao permitir que os serviços do Power Platform se conectem perfeitamente com outros recursos do Azure.

Visão geral do suporte Virtual Network no Power Platform

O suporte a rede virtual é um aprimoramento significativo que traz segurança robusta e conectividade aprimorada para o Power Platform. As redes virtuais são um componente fundamental dos recursos de rede da Azure, permitindo que sua organização conecte os serviços do Power Platform a recursos em suas redes privadas corporativas. Eles estabelecem uma comunicação segura entre os serviços do Power Platform, outros recursos Azure e redes, como serviços locais, bancos de dados, contas de armazenamento e um cofre de chaves.

Ao rotear todo o tráfego de saída dos serviços do Power Platform por meio de uma rede virtual, sua organização pode garantir que os dados sejam transmitidos com segurança e permaneçam protegidos contra acesso não autorizado. Uma rede virtual também melhora a conectividade ao fornecer um ambiente de rede confiável e consistente. Estabelecer conexões seguras entre os serviços do Power Platform e outros recursos Azure garante um fluxo de dados contínuo e um uso mais eficiente dos recursos de rede.

Nos bastidores

A infraestrutura do Power Platform consiste em uma camada de orquestração de contêiner sem servidor que executa cargas de trabalho com um limite de segurança estrito e garante disponibilidade individual, no nível da carga de trabalho e escalabilidade. A camada de orquestração de contêiner manipula todas as cargas de trabalho que precisam de isolamento, incluindo cargas de trabalho internas da Microsoft, como conectores e cargas de trabalho do cliente, como plug-ins.

A carga de trabalho em contêineres permite que o Power Platform suporte o isolamento em nível de rede usando uma combinação de delegação de sub-rede do Azure e recursos de injeção de rede virtual. Com a injeção de rede virtual, um contêiner pode ser injetado em uma rede virtual anexando uma interface de rede. Qualquer carga de trabalho em execução nesse contêiner é executada na rede do cliente e pode usar endereços IP privados dentro da rede. Cargas de trabalho de plug-in podem acessar serviços do usuário, recursos ou recursos do Azure por meio de um link privado exposto à mesma rede virtual. Da mesma forma, uma carga de trabalho do conector pode acessar o recurso ou ponto de extremidade de destino dentro da mesma rede virtual.

delegação de sub-rede Azure

O suporte de Rede Virtual para o Power Platform depende da delegação de sub-rede do Azure. As empresas delegam uma sub-rede para uso por serviços do Power Platform, como plug-ins e conectores do Dataverse, para processar solicitações no runtime. Os contêineres usam o endereço IP da sub-rede delegada para lidar com essas solicitações.

Como o contêiner opera dentro dos limites da sub-rede delegada e usa seu endereço IP, qualquer chamada de saída do contêiner permanece dentro dos limites da rede corporativa, ou seja, a chamada permanece na rede virtual que faz parte dessa sub-rede. Essa configuração permite que sua organização tenha controle total sobre as políticas, regras e pacotes de rede para contêineres. Você pode aplicar os mesmos controles à sub-rede delegada que aplica à sua própria rede.

O Power Platform não gerencia a configuração da sub-rede delegada. O único requisito é que a sub-rede delegada não possa ser usada para nenhum outro recurso ou delegada a outros serviços. Depois que uma sub-rede é delegada, os endereços IP dentro dessa sub-rede são reservados para o Power Platform.

O acesso à Internet dos contêineres não é restrito por padrão. É possível limitar ou controlar a saída do tráfego de rede por meio da configuração aplicada à rede virtual. Para obter informações sobre como restringir o acesso à Internet, consulte As práticas recomendadas para proteger conexões de saída.

A tabela a seguir resume a propriedade da sub-rede delegada e os controles que estão disponíveis para clientes e para a Microsoft.

Arquitetura técnica

O diagrama a seguir da arquitetura técnica de uma solução do Power Platform mostra como componentes como fontes de dados, conectores, serviços e aplicativos interagem e se integram à solução. O diagrama destaca o uso de redes virtuais para aumentar a segurança e a conectividade, permitindo que os serviços do Power Platform se conectem a recursos privados e protegidos sem expô-los à Internet. A arquitetura demonstra como as solicitações de execução são roteadas para contêineres na rede virtual, mantendo os limites de isolamento dos contêineres.

Em uma configuração de rede virtual, o contêiner que executa o plug-in ou conector faz parte da rede virtual da organização. A comunicação com os pontos finais na rede virtual permanece dentro dos limites da rede virtual. Você pode estender o limite para outras redes virtuais ou físicas usando Emparelhamento de Rede Virtual, ExpressRoute ou VPN Gateway.

Os componentes do Power Platform em uma carga de trabalho em contêiner de uma rede virtual devem ser capazes de se comunicar com outros componentes na carga de trabalho. Por exemplo, o Power Platform pode precisar acionar um plug-in ou chamar um conector na carga de trabalho.

Como o contêiner não está diretamente conectado à infraestrutura de rede principal, um caminho de comunicação especial, ou canal, é estabelecido entre o contêiner e a camada de orquestração. O canal usa um endereço IP local especial, chamado endereço APIPA, para enviar instruções ou sinais específicos para a carga de trabalho em execução dentro do contêiner. Somente certos tipos de mensagens podem chegar à carga de trabalho, garantindo que o contêiner e sua carga de trabalho permaneçam seguros e isolados.

O diagrama a seguir ilustra como os contêineres são isolados uns dos outros e do sistema host usando redes virtuais que roteiam solicitações de execução para os contêineres, mantendo os limites de isolamento.

Ativar o suporte de Rede Virtual para o Power Platform

Siga as instruções em Configurar suporte de Virtual Network para Power Platform.

Casos de uso comuns e exemplos do mundo real

Nesta seção, você aprenderá sobre casos de uso comuns para redes virtuais com soluções do Power Platform. Você também explora exemplos reais de como vários setores se beneficiaram ao usá-los.

Casos de uso

Secure data integration: Sua organização pode usar o suporte de Rede Virtual para conectar com segurança os serviços do Power Platform a suas fontes de dados privadas, como Azure SQL Database, Azure Storage e recursos locais. Uma rede virtual garante que os dados permaneçam dentro dos limites da rede da organização e não sejam expostos à internet pública.

Pontos de extremidade privados para conectores: os conectores do Power Platform podem usar o suporte de Rede Virtual para estabelecer pontos de extremidade privados para comunicações seguras. A rede privada elimina a necessidade de endereços IP públicos e reduz o risco de violações de dados.

Integrações seguras do Copilot Studio: é possível usar suporte a Rede Virtual com conectores do Power Platform no Copilot Studio para estabelecer conectividade segura com fontes de dados. A rede privada elimina os riscos associados à exposição das fontes de dados à internet pública e atenua os riscos de exfiltração de dados.

Exemplos do mundo real

Organizações de todos os setores podem se beneficiar do suporte Virtual Network para o Power Platform. Ao conectar com segurança com serviços do Power Platform a fontes de dados privadas, as organizações podem aprimorar sua postura de segurança, melhorar a conectividade e garantir a conformidade com os requisitos regulatórios.

Financial institutions: um grande banco pode usar uma rede virtual para conectar com segurança soluções do Power Platform e Dynamics 365 aplicativos a seus bancos de dados e serviços protegidos. Essa configuração permite que o banco crie fluxos de trabalho seguros e automatize processos sem expor informações confidenciais à internet pública, garantindo que os dados do cliente estejam protegidos e em conformidade com os requisitos regulatórios.

Healthcare providers: uma organização de saúde pode usar uma rede virtual para conectar soluções do Power Platform e aplicativos do Dynamics 365 a seus prontuários eletrônicos de saúde. A rede privada pode ser usada para acesso seguro aos dados do paciente e para criar canais de comunicação seguros entre departamentos e entre o provedor e parceiros externos.

Retail companies: uma empresa de varejo pode usar uma rede virtual para conectar com segurança soluções do Power Platform e Dynamics 365 aplicativos a seus sistemas de gerenciamento de inventário e bancos de dados de clientes. As conexões privadas permitem que a empresa simplifique as operações, melhore o rastreamento de estoque e aprimore o atendimento ao cliente, garantindo que os dados confidenciais permaneçam protegidos.

A agências de governo: as agências governamentais podem usar uma rede virtual para conectar com segurança soluções do Power Platform e Dynamics 365 aplicativos a seus sistemas e bancos de dados internos. Conexões privadas permitem que agências automatizem processos, melhorem o compartilhamento de dados e aprimorem a colaboração, mantendo padrões rígidos de segurança e conformidade.

Padrões de integração

Os tipos de cargas de trabalho que você deseja executar em um ambiente determinam o padrão de integração para o Power Platform. Você pode usar o suporte para Virtual Network na Power Platform como padrão de integração em seu ambiente, com algumas exceções.

Cargas de trabalho de API: se você pretende executar cargas de trabalho de API, como plug-ins, conectores ou pontos de extremidade de serviço, uma rede virtual é a única maneira suportada de integrá-los com segurança às fontes de dados dentro da sua rede. As redes virtuais não dão suporte a um subconjunto de conectores que têm requisitos de driver que não são da Microsoft ou usam Windows authentication. Esses conectores não são amplamente utilizados e devem usar um gateway de dados local em vez de uma rede virtual. Os seguintes plug-ins e conectores estão disponíveis ao público geral para uso em uma rede virtual:

• Plug-ins do Dataverse
• Conectores personalizados
• Armazenamento de Blobs do Azure
• armazenamento de arquivos Azure
• Azure Key Vault
• Filas de Azure
• Azure SQL Data Warehouse
• HTTP com Microsoft Entra ID (pré-autenticado)
• SQL Server

cargas de trabalho ETL: as cargas de trabalho de extrair, transformar e carregar (ETL) no Power BI e nos fluxos de dados da Power Platform utilizam gateways de dados de rede virtual.

O diagrama a seguir ilustra os padrões de integração para cargas de trabalho de API e ETL.

Considerações de configuração

Tenha em mente as considerações a seguir ao configurar suporte de Virtual Network para o Power Platform.

Regiões e locais

As sub-redes delegadas nas regiões do Azure devem corresponder à localização do ambiente do Power Platform. Por exemplo, se o ambiente do Power Platform estiver no United States, cada uma das duas redes virtuais e sub-redes deverá estar nas regiões eastus e westus Azure. Verifique a lista de regiões e mapeamentos de localização com suporte para obter as informações mais recentes sobre Azure regiões e locais.

Se os recursos Azure estiverem em regiões Azure diferentes, você ainda deverá implantar suas redes virtuais para ambientes do Power Platform no local Azure apropriado para cada ambiente. Use peering de Rede Virtual ou uma opção de conectividade semelhante com alta velocidade e baixa latência para conectar os recursos à sua rede virtual. A rede global da Microsoft oferece várias opções para estabelecer conectividade entre a rede virtual do Power Platform e sua rede virtual corporativa.

Tamanho da sub-rede

O tamanho da sub-rede delegada em uma rede virtual deve acomodar o crescimento futuro no uso e a adição de novos serviços. O dimensionamento adequado da sub-rede garante que as solicitações não sejam limitadas. Para obter mais informações sobre o dimensionamento da sua sub-rede, acesse Estimativa do tamanho da sub-rede para ambientes do Power Platform.

Azure NAT Gateway

Azure NAT Gateway fornece conectividade de saída segura e escalonável para contêineres em uma sub-rede delegada. Quando anexado a uma sub-rede, o Gateway NAT se torna o próximo ponto de acesso para todo o tráfego voltado para a Internet, transformando endereços IP privados em um endereço IP público estático. Isso fornece à sua organização um ponto centralizado de controle para gerenciar o acesso à Internet de saída.

Monitoramento de rede

O monitoramento de rede rastreia e analisa o fluxo de tráfego na sub-rede delegada, o que é essencial para identificar e resolver possíveis problemas. Ao fornecer insights sobre o desempenho e a integridade dos componentes da rede, o monitoramento ajuda a garantir que a rede esteja operando de forma eficiente e segura. As ferramentas de monitoramento podem detectar anomalias, como padrões de tráfego incomuns ou tentativas de acesso não autorizado, permitindo intervenção e mitigação oportunas.

Grupos de segurança de rede

Os NSGs (grupos de segurança de rede) permitem definir regras de segurança que controlam o tráfego de e para seus recursos de Azure. Ao delegar uma sub-rede, você pode configurar NSGs para garantir que somente tráfego autorizado seja permitido, ajudando a manter a segurança e a integridade da sua rede. Os NSGs podem ser aplicados a sub-redes e interfaces de rede individuais, fornecendo flexibilidade no gerenciamento de tráfego em diferentes níveis.

Melhores práticas para proteger conexões de saída de serviços do Power Platform

As práticas recomendadas a seguir ajudam você a proteger conexões de saída dos serviços do Power Platform, que são cruciais para reduzir os riscos de exfiltração de dados e garantir a conformidade com as políticas de segurança.

• Restringir o acesso à Internet: por padrão, os contêineres têm acesso irrestrito à Internet de saída. Anexe um Gateway NAT à sub-rede delegada para forçar todo o tráfego destinado à Internet através de um caminho controlado, garantindo que todas as conexões sejam roteadas pela sua rede privada.

• Restringir o tráfego de saída: depois que o Gateway nat for implantado, limite o tráfego de saída dos recursos do Power Platform para pontos de extremidade específicos. Use grupos de segurança de rede e Azure Firewall para impor regras de tráfego e controlar o acesso.

• Use pontos de extremidade privados: use pontos de extremidade privados para comunicação segura entre os serviços do Power Platform e os recursos de Azure. Pontos de extremidade privados garantem que o tráfego permaneça dentro da rede Azure e não percorra a Internet pública.

• Monitor e auditar o tráfego: use Azure Network Watcher e Microsoft Sentinel para monitorar e auditar o tráfego de saída dos serviços do Power Platform e assim ajudá-lo a identificar e responder a possíveis ameaças à segurança em tempo real.

• Aplicativo de políticas de segurança: impor políticas de segurança usando Azure Policy e Azure Firewall para garantir que todas as conexões de saída estejam em conformidade com os requisitos de segurança da sua organização. Para controlar o fluxo de dados, aplique políticas de prevenção contra perda de dados e filtragem de ponto de extremidade aos conectores.

Configurações de Virtual Network de exemplo

Nesta seção, fornecemos configurações de exemplo para suporte de Virtual Network no Power Platform. Essas configurações ilustram como configurar redes virtuais e sub-redes para diferentes cenários, garantindo conectividade segura entre os serviços do Power Platform e Azure recursos.

Quando seus recursos do Azure estão em uma região do Azure emparelhada e o ambiente do Power Platform está nos Estados Unidos

Neste cenário, fazemos as seguintes suposições:

• Seu ambiente do Power Platform está localizado nos Estados Unidos.
• A região Azure da rede virtual está definida como Oeste dos EUA e Leste dos EUA.
• Seus recursos empresariais estão em uma rede virtual, VNET1, na região Oeste dos EUA.

A configuração mínima a seguir é necessária para configurar Virtual Network suporte neste cenário:

1. Crie uma rede virtual, VNet1, no Oeste dos EUA e configure sub-redes para delegação.
2. Crie uma segunda rede virtual, VNet2, no Leste dos EUA e configure sub-redes para delegação.
3. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet2.
4. Configure a integração de Virtual Network do Power Platform para os ambientes desejados usando as sub-redes que você criou nas etapas 1 e 2.

Quando seus recursos do Azure estão na região Central dos EUA do Azure e o ambiente do Power Platform está nos Estados Unidos

Neste cenário, fazemos as seguintes suposições:

• Seu ambiente do Power Platform está localizado nos Estados Unidos.
• As regiões Azure para as redes virtuais são definidas como Oeste dos EUA e Leste dos EUA.
• Seus recursos empresariais estão em uma rede virtual, VNet1, na região Central dos EUA.

A configuração mínima a seguir é necessária para configurar Virtual Network suporte neste cenário:

1. Crie uma rede virtual, VNet2, no Oeste dos EUA e configure sub-redes para delegação.
2. Crie outra rede virtual, VNet3, no Leste dos EUA e configure sub-redes para delegação.
3. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet2.
4. Estabeleça uma conexão de emparelhamento entre VNet1 e VNet3.
5. Configure a integração de Virtual Network do Power Platform para os ambientes desejados usando as sub-redes que você criou nas etapas 1 e 2.

Estudo de caso

O estudo de caso a seguir ilustra como um cliente da Microsoft implementou com êxito Virtual Network suporte ao Power Platform para aprimorar a segurança e a conectividade, garantindo a conformidade com os requisitos regulatórios.

Uma empresa aprimora sua agilidade de negócios com IA gerativa e integração segura usando Azure Virtual Network

Para explorar casos de uso práticos e comerciais para IA generativa, nosso cliente realizou um hackathon. O evento reuniu vários desenvolvedores cidadãos, que criaram um protótipo bem-sucedido em apenas um mês usando o Power Platform e Azure Serviços de IA. O hackathon não apenas mostrou o potencial da IA generativa, mas também forneceu uma valiosa experiência prática aos participantes, fomentando a inovação e a colaboração dentro da organização.

Desafios do cliente: a transição do protótipo para a produção apresentou desafios significativos. O principal obstáculo era estabelecer uma arquitetura de rede privada segura no Power Platform e Azure que cumpriam as rigorosas políticas de segurança interna da empresa. Garantir a privacidade e a segurança dos dados, mantendo a agilidade e a escalabilidade, foi fundamental para o cliente.

Solução: o cliente usou uma delegação de sub-rede do Azure—ou seja, uma rede virtual—com um ambiente gerenciado para estabelecer uma arquitetura de rede privada entre o Power Platform e os recursos privados do Azure. Usando essa arquitetura, o cliente conectou com segurança seus aplicativos do Power Platform para Azure serviços sem expor dados confidenciais à Internet pública.

Benefícios: a implementação desta solução trouxe vários benefícios principais.

• O cliente criou uma base de integração segura e ágil entre o Power Platform e o Azure, acelerando a realização do valor de negócios. A integração permitiu um fluxo de dados perfeito e melhor colaboração entre departamentos.

• A nova arquitetura eliminou custos e limitações associados aos gateways de dados locais. Ao evitar a necessidade de infraestrutura local, o cliente pode reduzir as despesas operacionais e simplificar a manutenção.

• O cliente agora está pronto para integrar outras fontes de dados internas, como Amazon Web Services privadas e APIs locais, por meio dessa plataforma com Azure ExpressRoute. A expansão permite que o cliente use um intervalo mais amplo de dados e serviços, gerando mais inovação e eficiência.

Conclusão

Neste white paper, exploramos vários aspectos da integração do suporte de Virtual Network com o Power Platform. Discutimos os benefícios de segurança do uso de uma rede virtual, como proteger dados confidenciais contra acesso não autorizado e garantir comunicação segura entre serviços do Power Platform e recursos privados. Discutimos casos de uso comuns e exemplos do mundo real, fornecemos padrões de integração para diferentes cenários e oferecemos considerações para configurar Virtual Network suporte. Compartilhamos as melhores práticas para proteger conexões de saída de serviços do Power Platform, incluindo:

• Restringindo o tráfego de saída
• Usando pontos de extremidade privados e delegação de sub-rede
• Monitoramento e auditoria de tráfego
• Aplicando políticas de segurança

Por fim, examinamos um estudo de caso de um cliente da Microsoft que implementou com êxito Virtual Network suporte para o Power Platform para aprimorar a segurança e a conectividade, garantindo a conformidade com os requisitos regulatórios.

Virtual Network suporte para o Power Platform é um recurso crucial que permite que as organizações aprimorem a segurança de rede, otimizem a conectividade e garantam a conformidade com os requisitos regulatórios. As organizações que usam Virtual Network suporte podem conectar com segurança os serviços do Power Platform a suas fontes de dados privadas, eliminando os riscos associados à exposição dessas fontes à Internet pública.

Conteúdo relacionado

• visão geral do suporte Virtual Network
• Configurar suporte de rede virtual para o Power Platform
• O que é delegação de sub-rede?
• Understanding Azure Network Pricing
• Solucionar problemas de rede virtual