Virtual Network stöder vitbok

Din organisation kan använda Azure Virtual Network för att säkerställa att dess Power Platform-tjänster fungerar i en säker och kontrollerad nätverksmiljö, vilket minskar risken för dataintrång och obehörig åtkomst. Det här vitboken innehåller en djupgående analys av Azure Virtual Network stöd i Power Platform. Den belyser viktiga fördelar, beskriver implementeringsprocessen och den tekniska arkitekturen, diskuterar verkliga användningsfall och ger praktiska insikter från en lyckad fallstudie. Det är en värdefull resurs för IT-proffs och beslutsfattare som vill förbättra nätverkssäkerheten och drifteffektiviteten.

Viktiga fördelar

• Förbättrad säkerhet: Var värd för Power Platform tjänster i ett säkert nätverk och skydda känsliga data från obehörig åtkomst och potentiella intrång.

• Improved connectivity: Upprätta säkra och tillförlitliga anslutningar mellan Power Platform-tjänster och andra Azure resurser, vilket förbättrar den övergripande anslutningen.

• Strömlinjeformad nätverkshantering: Förenkla nätverkshanteringen med en centraliserad och konsekvent metod för att konfigurera och hantera nätverksinställningar för Power Platform tjänster.

• Skalbarhet: Skala Power Platform tjänster effektivt, vilket säkerställer att nätverksresurser kan växa i linje med affärsbehoven.

• Efterlevnad: Uppfyll regel- och efterlevnadskrav för nätverkssäkerhet och dataskydd.

Bakgrund

Microsoft Power Platform är en ledande plattform med låg kod/ingen kod som gör det möjligt för människor att skapa program, automatisera arbetsflöden och analysera data – även om de inte är proffsutvecklare – för att skapa anpassade lösningar som är skräddarsydda för specifika affärsbehov, främja innovation och förbättra produktiviteten. Power Platform omfattar följande Microsoft-tjänster:

• Dataverse fungerar som den underliggande dataplattformen och ger en säker och skalbar miljö för lagring och hantering av data.
• Power Apps erbjuder ett användarvänligt gränssnitt för att skapa anpassade program.
• Power Automate erbjuder ett dra och släpp-gränssnitt för att automatisera repetitiva uppgifter och arbetsflöden.
• Power BI erbjuder robusta funktioner för datavisualisering och analys.
• Power Pages erbjuder ett användarvänligt gränssnitt för att skapa professionella webbplatser.
• Copilot Studio gör det enkelt att skapa intelligenta robotar och agenter utan djupgående kunskaper om AI-teknik.

Integreringen av dessa komponenter med Azure resurser med hjälp av virtuella nätverk förbättrar Power Platform övergripande funktioner och säkerhet. Virtuella nätverk tillhandahåller en säker och isolerad nätverksmiljö där Power Platform tjänster kan fungera, vilket gör att din organisation kan kontrollera och hantera nätverkstrafik samtidigt som du ser till att data skyddas i enlighet med regelkrav.

Nätverkssäkerhet och Virtual Network integrering

Nätverkssäkerhet är en kritisk aspekt av all digital infrastruktur. Det är viktigt att skydda utgående trafik från Power Platform-tjänster för att förhindra obehörig åtkomst, dataintrång och andra säkerhetshot. Virtual Network integration spelar en viktig roll. Genom att tillhandahålla en säker väg för dataöverföring och säkerställa att all trafik från Power Platform-tjänster dirigeras via en kontrollerad och övervakad nätverksmiljö minskar risken för exponering för potentiella hot.

Genom att implementera Virtual Network support kan din organisation tillämpa strikta säkerhetsprinciper, övervaka nätverkstrafik och identifiera eventuella avvikelser i realtid. Denna kontrollnivå är avgörande för att upprätthålla integriteten och konfidentialiteten för känsliga uppgifter. Samtidigt förenklar Virtual Network integrering din övergripande nätverksarkitektur och förbättrar tillförlitligheten genom att låta Power Platform-tjänster ansluta sömlöst till andra Azure resurser.

Översikt över stöd för Virtual Network i Power Platform

Virtual Network support är en betydande förbättring som ger robust säkerhet och förbättrad anslutning till Power Platform. Virtuella nätverk är en grundläggande komponent i Azure nätverksfunktioner, vilket gör det möjligt för din organisation att ansluta Power Platform-tjänster till resurser i företagets privata nätverk. De upprättar säker kommunikation mellan Power Platform-tjänster, andra Azure resurser och nätverk, till exempel lokala tjänster, databaser, lagringskonton och ett nyckelvalv.

Genom att dirigera all utgående trafik från Power Platform tjänster via ett virtuellt nätverk kan din organisation se till att data överförs på ett säkert sätt och förblir skyddade mot obehörig åtkomst. Ett virtuellt nätverk förbättrar också anslutningen genom att tillhandahålla en tillförlitlig och konsekvent nätverksmiljö. Genom att upprätta säkra anslutningar mellan Power Platform-tjänster och andra Azure resurser säkerställs sömlöst dataflöde och en effektivare användning av nätverksresurser.

Bakom kulisserna

Power Platform-infrastrukturen består av ett serverlöst containerorkestreringslager som kör arbetsbelastningar med en strikt säkerhetsgräns och garanterar individuell tillgänglighet på arbetsbelastningsnivå och skalbarhet. Containerorkestreringsskiktet hanterar alla arbetsbelastningar som behöver isolering, inklusive interna Microsoft-arbetsbelastningar som anslutningsappar och kundarbetsbelastningar som plugin-program.

Med den containerbaserade arbetsbelastningen kan Power Platform stödja isolering på nätverksnivå med hjälp av en kombination av Azure delegering av undernät och Virtual Network inmatningsfunktioner. Med virtuell nätverksinjicering kan en container injiceras i ett virtuellt nätverk genom att ansluta ett nätverkskort. Alla arbetsbelastningar som körs på containern körs i kundens nätverk och kan använda privata IP-adresser i nätverket. Plug-in-arbetsbelastningar kan komma åt användartjänster, resurser eller Azure-resurser med en privat länk som exponeras för samma virtuella nätverk. På samma sätt kan en anslutningsarbetsbelastning komma åt målresursen eller slutpunkten i samma virtuella nätverk.

Azure delegering av subnät

Virtuellt nätverksstöd för Power Platform förlitar sig på Azure delegering av subnät. Företag delegerar ett undernät för användning av Power Platform-tjänster, till exempel Dataverse-plugin-program och anslutningsprogram, för att bearbeta begäranden vid körning. Containrar använder IP-adressen från det delegerade undernätet för att hantera dessa begäranden.

Eftersom containern fungerar inom gränserna för det delegerade undernätet och använder dess IP-adress förblir alla utgående anrop från containern inom företagets nätverksgränser, det vill säga att samtalet stannar i det virtuella nätverk som ingår i det undernätet. Med den här konfigurationen kan din organisation ha fullständig kontroll över principer, regler och nätverkspaket för containrar. Du kan använda samma kontroller för det delegerade undernätet som du tillämpar på ditt eget nätverk.

Power Platform hanterar inte konfigurationen av det delegerade undernätet. Det enda kravet är att det delegerade undernätet inte kan användas för andra resurser eller delegeras till andra tjänster. När ett undernät har delegerats reserveras IP-adresserna i det undernätet för Power Platform.

Internetåtkomsten från containrarna är inte begränsad som standard. Det går att begränsa eller kontrollera utgående nätverkstrafik via konfiguration som tillämpas på det virtuella nätverket. Information om hur du begränsar Internetåtkomst finns i Metodtips för att skydda utgående anslutningar.

I följande tabell sammanfattas ägarskapet för det delegerade undernätet och de kontroller som är tillgängliga för kunder och Microsoft.

Teknisk arkitektur

Följande diagram över den tekniska arkitekturen för en Power Platform lösning visar hur komponenter som datakällor, anslutningsappar, tjänster och program interagerar och integreras i lösningen. Diagrammet visar användningen av virtuella nätverk för att förbättra säkerheten och anslutningen genom att tillåta Power Platform tjänster att ansluta till privata och skyddade resurser utan att exponera dem för Internet. Arkitekturen visar hur körningsbegäranden dirigeras till containrar i det virtuella nätverket samtidigt som gränserna för containerisolering upprätthålls.

I en Virtual Network konfiguration är containern som kör plugin-programmet eller anslutningsprogrammet en del av organisationens virtual network. Kommunikation till slutpunkter i det virtuella nätverket finns kvar inom den virtuella nätverksgränsen. Du kan utöka gränsen till andra virtuella eller lokala nätverk med hjälp av Virtual Network peering och ExpressRoute eller VPN Gateway.

Power Platform Komponenter i en containerbaserad arbetsbelastning i ett virtuellt nätverk måste kunna kommunicera med andra komponenter i arbetsbelastningen. Power Platform kan till exempel behöva utlösa ett plugin-program eller anropa ett anslutningsprogram som en del av arbetsbelastningen.

Eftersom containern inte är direkt ansluten till huvudnätverksinfrastrukturen upprättas en särskild kommunikationsväg eller kanal mellan containern och orkestreringsskiktet. Kanalen använder en särskild lokal IP-adress, som kallas APIPA-adress, för att skicka specifika instruktioner eller signaler till arbetsbelastningen som körs i containern. Endast vissa typer av meddelanden tillåts nå arbetsbelastningen, vilket säkerställer att containern och dess arbetsbelastning förblir säkra och isolerade.

Följande diagram illustrerar hur containrar isoleras från varandra och värdsystemet med hjälp av virtuella nätverk som dirigerar körningsbegäranden till containrar samtidigt som isoleringsgränserna upprätthålls.

Aktivera Virtual Network stöd för Power Platform

Följ anvisningarna i Set up Virtual Network support for Power Platform.

Vanliga användningsfall och verkliga exempel

I det här avsnittet får du lära dig mer om vanliga användningsfall för virtuella nätverk med Power Platform lösningar. Du utforskar också verkliga exempel på hur olika branscher har dragit nytta av att använda dem.

Användningsfall

Secure-dataintegrering: Din organisation kan använda Virtual Network stöd för att på ett säkert sätt ansluta Power Platform-tjänster till sina privata datakällor, till exempel Azure SQL Database, Azure Storage och lokala resurser. Ett virtuellt nätverk säkerställer att data finns kvar inom organisationens nätverksgränser och inte exponeras för det offentliga Internet.

Privata slutpunkter för anslutningsappar: Power Platform-anslutningsappar kan använda stöd för virtuella nätverk för att upprätta privata slutpunkter för säker kommunikation. Det privata nätverket eliminerar behovet av offentliga IP-adresser och minskar risken för dataintrång.

Secure Copilot Studio-integreringar: Du kan använda stöd för Virtual Network med Power Platform-anslutningar i Copilot Studio för att upprätta säker anslutning med datakällor. Det privata nätverket eliminerar de risker som är kopplade till att exponera datakällorna för det offentliga Internet och minskar riskerna för dataexfiltrering.

Exempel från verkligheten

Organisationer i olika branscher kan dra nytta av Virtual Network stöd för Power Platform. Genom att på ett säkert sätt ansluta Power Platform tjänster till privata datakällor kan organisationer förbättra sin säkerhetsstatus, förbättra anslutningen och säkerställa efterlevnad av regelkrav.

Financial institutions: En stor bank kan använda ett virtuellt nätverk för att på ett säkert sätt ansluta Power Platform-lösningar och Dynamics 365 appar till sina skyddade databaser och tjänster. Denna konfiguration gör det möjligt för banken att skapa säkra arbetsflöden och automatisera processer utan att exponera känslig information för det offentliga internet, vilket säkerställer att kunddata skyddas och uppfyller regulatoriska krav.

Hälsovårdsleverantörer: En sjukvårdsorganisation kan använda ett virtuellt nätverk för att ansluta Power Platform-lösningar och Dynamics 365 appar till sina elektroniska patientjournalsystem. Det privata nätverket kan användas för säker åtkomst till patientdata och för att skapa säkra kommunikationskanaler mellan avdelningar och mellan vårdgivare och externa partners.

Retail-företag: Ett detaljhandelsföretag kan använda ett virtuellt nätverk för att på ett säkert sätt ansluta Power Platform-lösningar och Dynamics 365 appar till sina lagerhanteringssystem och kunddatabaser. Privata anslutningar gör det möjligt för företaget att effektivisera verksamheten, förbättra lagerspårningen och förbättra kundservicen samtidigt som de säkerställer att känslig data förblir skyddad.

Government agencies: Myndigheter kan använda ett virtuellt nätverk för att på ett säkert sätt ansluta Power Platform-lösningar och Dynamics 365 appar till sina interna system och databaser. Privata anslutningar gör det möjligt för byråer att automatisera processer, förbättra datadelning och förbättra samarbetet samtidigt som strikta säkerhets- och efterlevnadsstandarder upprätthålls.

Integrationsmönster

De typer av arbetsbelastningar som du vill köra i en miljö avgör integreringsmönstret för Power Platform. Du kan använda Virtual Network stöd för Power Platform som ett integrationsmönster i din miljö med vissa undantag.

API-arbetsbelastningar: Om du planerar att köra API-arbetsbelastningar som plugin-program, anslutningsappar eller tjänstslutpunkter är ett virtuellt nätverk det enda sättet att integrera dem på ett säkert sätt med datakällor i nätverket. Virtuella nätverk har inte stöd för en delmängd av kontakter som har drivrutinskrav som inte kommer från Microsoft eller som använder Windows-autentisering. Dessa kontakter används inte i stor utsträckning och måste i stället använda en lokal datagateway istället för ett virtuellt nätverk. Följande plugin-program och anslutningsappar är allmänt tillgängliga för användning i ett virtuellt nätverk:

• Plugin-program för Dataverse
• Anpassade konnektorer
• Microsoft Azure Blob Storage-tjänst
• Azure File Storage
• Azure Key Vault
• Azure köer
• Azure SQL Data Warehouse
• HTTP med Microsoft Entra ID (förauktoriserat)
• SQL Server

ETL-arbetsbelastningar: Extrahera, transformera, ladda (ETL) arbetsbelastningar i Power BI och Power Platform-dataflöden använder virtuella datanätverksgatewayer.

Följande diagram illustrerar integreringsmönstren för API- och ETL-arbetsbelastningar.

Att tänka på vid konfigurationen

Tänk på följande när du konfigurerar Virtual Network stöd för Power Platform.

Regioner och platser

Delegerade undernät i Azure regioner måste matcha platsen för Power Platform-miljön. Om din Power Platform-miljö till exempel finns i United States måste vart och ett av två virtuella nätverk och undernät finnas i regionerna eastus och westus Azure. I lista över regioner och platsmappningar som stöds finns den senaste informationen om Azure regioner och platser.

Om dina Azure resurser finns i olika Azure regioner måste du fortfarande distribuera dina virtuella nätverk för Power Platform-miljöer på rätt Azure plats för varje miljö. Använd Virtual Network peering eller ett liknande anslutningsalternativ med hög hastighet och låg svarstid för att ansluta resurserna till dina virtuella nätverk. Microsofts globala nätverk erbjuder flera alternativ för att upprätta en anslutning mellan det Power Platform virtuella nätverket och företagets virtuella nätverk.

Storlek på undernät

Storleken på det delegerade undernätet i ett virtuellt nätverk bör hantera framtida tillväxt i användning och tillägg av nya tjänster. Genom att ändra storlek på undernätet på rätt sätt ser du till att begäranden inte begränsas. Mer information om hur du ändrar storlek på ditt undernät finns i Beräkna undernätsstorlek för Power Platform miljöer.

Azure NAT Gateway

Azure NAT Gateway ger säker och skalbar utgående anslutning för containrar i ett delegerat undernät. När NAT-gatewayen är ansluten till ett undernät blir den punkten som all trafik som är avsedd för internet skickas vidare till och översätter privata IP-adresser till en statisk offentlig IP-adress. Detta ger din organisation en centraliserad kontrollpunkt för att hantera utgående internetåtkomst.

Nätverksövervakning

Nätverksövervakning spårar och analyserar trafikflödet i det delegerade undernätet, vilket är viktigt för att identifiera och lösa potentiella problem. Genom att ge insikter om nätverkskomponenternas prestanda och hälsa hjälper övervakning till att se till att nätverket fungerar effektivt och säkert. Övervakningsverktyg kan identifiera avvikelser, till exempel ovanliga trafikmönster eller obehöriga åtkomstförsök, vilket gör det möjligt att ingripa och åtgärda åtgärder i tid.

Säkerhetsgrupper för nätverk

Med nätverkssäkerhetsgrupper (NSG:er) kan du definiera säkerhetsregler som styr trafik till och från dina Azure resurser. När du delegerar ett undernät kan du konfigurera NSG:er för att säkerställa att endast auktoriserad trafik tillåts, vilket hjälper dig att upprätthålla nätverkets säkerhet och integritet. NSG:er kan tillämpas på både undernät och enskilda nätverksgränssnitt, vilket ger flexibilitet vid hantering av trafik på olika nivåer.

Metodtips för att skydda utgående anslutningar från Power Platform-tjänster

Följande metodtips hjälper dig att skydda utgående anslutningar från Power Platform-tjänster, vilket är avgörande för att minimera risker för dataexfiltrering och säkerställa efterlevnad av säkerhetsprinciper.

• Begränsa Internetåtkomst: Som standard har containrar obegränsad utgående internetåtkomst. Koppla en NAT Gateway till det delegerade undernätet för att tvinga all internetbunden trafik via en kontrollerad sökväg, så att alla anslutningar dirigeras via ditt privata nätverk.

• Begränsa utgående trafik: När DIN NAT Gateway har distribuerats begränsar du utgående trafik från Power Platform-resurser till specifika slutpunkter. Använd nätverkssäkerhetsgrupper och Azure Firewall för att framtvinga trafikregler och kontrollera åtkomst.

• Använd privata slutpunkter: Använd privata slutpunkter för säker kommunikation mellan Power Platform-tjänster och Azure resurser. Privata slutpunkter ser till att trafiken förblir inom Azure nätverket och inte passerar det offentliga Internet.

• Övervaka och granska trafik: Använd Azure Network Watcher och Microsoft Sentinel för att övervaka och granska utgående trafik från Power Platform-tjänster som hjälper dig att identifiera och svara på potentiella säkerhetshot i realtid.

• Apply-säkerhetsprinciper: Framtvinga säkerhetsprinciper med Azure Policy och Azure Firewall för att säkerställa att alla utgående anslutningar uppfyller organisationens säkerhetskrav. För att styra dataflödet, tillämpa dataförlustskyddspolicyer och slutpunktfiltrering på anslutningsappar.

Exempel på Virtual Network konfigurationer

I det här avsnittet tillhandahåller vi exempelkonfigurationer för Virtual Network stöd i Power Platform. Dessa konfigurationer visar hur du konfigurerar virtuella nätverk och undernät för olika scenarier, vilket säkerställer säker anslutning mellan Power Platform-tjänster och Azure resurser.

När dina Azure resurser finns i en parad Azure region och Power Platform-miljön finns i United States

I det här scenariot gör vi följande antaganden:

• Din Power Platform-miljö finns i United States.
• Azure-regionen för det virtuella nätverket är inställd på Västra USA och Östra USA.
• Dina företagsresurser finns i ett virtuellt nätverk, VNET1, i regionen USA, västra.

Följande minsta konfiguration krävs för att konfigurera Virtual Network stöd i det här scenariot:

1. Skapa ett virtuellt nätverk, VNet1, i västra USA och konfigurera subnät för delegering.
2. Skapa ett andra virtuellt nätverk, VNet2, i östra USA och konfigurera undernät för delegerade uppgifter.
3. Upprätta en peering-anslutning mellan VNet1 och VNet2.
4. Konfigurera Power Platform Virtual Network integrering för önskade miljöer med hjälp av de undernät som du skapade i steg 1 och 2.

När dina Azure-resurser finns i centrala USA Azure-regionen och Power Platform-miljön finns i USA.

I det här scenariot gör vi följande antaganden:

• Din Power Platform-miljö finns i United States.
• De virtuella nätverkens Azure-regioner är inställda på Västra USA och Östra USA.
• Dina företagsresurser finns i ett virtuellt nätverk, VNet1, i centrala USA.

Följande minsta konfiguration krävs för att konfigurera Virtual Network stöd i det här scenariot:

1. Skapa ett virtuellt nätverk, VNet2, i västra USA och konfigurera undernät för delegering.
2. Skapa ett annat virtuellt nätverk, VNet3, i östra USA och konfigurera undernät med delegering.
3. Upprätta en peering-anslutning mellan VNet1 och VNet2.
4. Upprätta en peering-anslutning mellan VNet1 och VNet3.
5. Konfigurera Power Platform Virtual Network integrering för önskade miljöer med hjälp av de undernät som du skapade i steg 1 och 2.

Fallstudie

Följande fallstudie visar hur en Microsoft-kund har implementerat Virtual Network support för Power Platform för att förbättra säkerhet och anslutning samtidigt som regelkraven uppfylls.

Ett företag förbättrar sin affärsflexiitet med generativ AI och säker integrering med hjälp av Azure Virtual Network

För att utforska praktiska affärsanvändningsfall för generativ AI genomförde vår kund ett hackathon. Evenemanget samlade flera medborgarutvecklare, som byggde en lyckad prototyp på bara en månad med hjälp av Power Platform och Azure AI Services. Hackathonet visade inte bara upp potentialen hos generativ AI, utan gav också deltagarna värdefull praktisk erfarenhet, vilket främjade innovation och samarbete inom organisationen.

Kundernas utmaningar: Övergången från prototyp till produktion innebar stora utmaningar. Det främsta hindret var att upprätta en säker arkitektur för privata nätverk på Power Platform och Azure som följde företagets strikta interna säkerhetsprinciper. Att säkerställa datasekretess och -säkerhet, samtidigt som flexibilitet och skalbarhet bibehölls, var avgörande för kunden.

Solution: Kunden använde Azure undernätsdelegering – med andra ord ett virtuellt nätverk – med en hanterad miljö för att upprätta en privat nätverksarkitektur mellan Power Platform och privata Azure resurser. Med den här arkitekturen anslöt kunden sina Power Platform-program på ett säkert sätt till Azure tjänster utan att exponera känsliga data för det offentliga Internet.

Fördelar: Implementeringen av den här lösningen gav flera viktiga fördelar.

• Kunden skapade en säker och flexibel integreringsgrund mellan Power Platform och Azure, vilket påskyndade förverkligande av affärsvärde. Integrationen möjliggjorde ett sömlöst dataflöde och förbättrat samarbete mellan avdelningar.

• Den nya arkitekturen eliminerade kostnader och begränsningar som är associerade med lokala datagatewayer. Genom att undvika behovet av lokal infrastruktur kan kunden minska driftskostnaderna och förenkla underhållet.

• Kunden är nu redo att integrera andra interna datakällor, till exempel privata Amazon Web Services och lokala API:er, via den här plattformen med Azure ExpressRoute. Expansionen gör det möjligt för kunden att använda ett bredare utbud av data och tjänster, vilket driver ytterligare innovation och effektivitet.

Slutsats

I den här vitboken utforskade vi olika aspekter av integrering av Virtual Network support med Power Platform. Vi diskuterade säkerhetsfördelarna med att använda ett virtuellt nätverk, till exempel att skydda känsliga data från obehörig åtkomst och säkerställa säker kommunikation mellan Power Platform tjänster och privata resurser. Vi diskuterade vanliga användningsfall och verkliga exempel, tillhandahöll integrationsmönster för olika scenarier och erbjöd överväganden för att konfigurera Virtual Network support. Vi delade med oss av metodtips för att skydda utgående anslutningar från Power Platform tjänster, inklusive:

• Begränsa utgående trafik
• Använda privata slutpunkter och delegering av undernät
• Övervaka och granska trafik
• Tillämpa säkerhetsprinciper

Slutligen undersökte vi en fallstudie av en Microsoft-kund som framgångsrikt implementerade Virtual Network support för Power Platform för att förbättra säkerhet och anslutning samtidigt som regelkraven uppfylls.

Virtual Network stöd för Power Platform är en viktig funktion som gör det möjligt för organisationer att förbättra sin nätverkssäkerhet, optimera anslutningen och säkerställa efterlevnad av regelkrav. Organisationer som använder Virtual Network stöd kan på ett säkert sätt ansluta Power Platform-tjänster till sina privata datakällor, vilket eliminerar riskerna med att exponera dessa källor för det offentliga Internet.

Relaterat innehåll

• Översikt över Virtual Network-support
• Konfigurera stöd för virtuella nätverk för Power Platform
• Vad är delegering av undernät?
• Förstå Azure nätverkspriser
• Felsöka virtuella nätverksproblem