Información general sobre la compatibilidad con VNet de Microsoft Azure

Con la compatibilidad de Azure Virtual Network (VNet) con Power Platform, puede integrar Power Platform con recursos dentro de la red virtual sin exponerlos a través de la red pública de Internet. La compatibilidad con redes virtuales (VNet) usa la delegación de subred de Azure para administrar el tráfico saliente de Power Platform en tiempo de ejecución. Al usar Azure delegación de subred, no es necesario que los recursos protegidos estén disponibles a través de Internet para integrarse con Power Platform. Mediante el uso de la compatibilidad con redes virtuales, los componentes de Power Platform pueden llamar a recursos que pertenecen a su empresa dentro de la red, tanto si están hospedados en Azure como locales, y usar complementos y conectores para realizar llamadas salientes.

Power Platform normalmente se integra con recursos empresariales a través de redes públicas. Con las redes públicas, los recursos empresariales deben ser accesibles desde una lista de Azure intervalos IP o etiquetas de servicio, que describen las direcciones IP públicas. Sin embargo, la compatibilidad de VNet para Power Platform te permite usar una red privada y seguir integrándose con servicios en la nube o servicios alojados dentro de la red de la empresa.

Los servicios de Azure están protegidos dentro de una red virtual mediante puntos de conexión privados. Puede usar ExpressRoute para traer los recursos locales dentro de la red virtual.

Power Platform usa el servicio de red virtual y las subredes que delega para realizar llamadas salientes a recursos empresariales a través de la red privada empresarial. Mediante el uso de una red privada, no es necesario enrutar el tráfico a través de la red pública de Internet, lo que podría exponer los recursos empresariales.

En una red virtual, tiene control total sobre el tráfico saliente de Power Platform. El administrador de red aplica directivas de red al tráfico. En el diagrama siguiente se muestra cómo interactúan los recursos dentro de la red con una red virtual.

Ventajas de la compatibilidad con redes virtuales de Azure

Al usar la compatibilidad con VNet, los componentes de Power Platform y Dataverse disfrutan de todas las ventajas que proporciona la delegación de subred de Azure, como:

• Protección de datos: la compatibilidad con redes virtuales permite a los servicios de Power Platform conectarse a los recursos privados y protegidos sin exponerlos a Internet.

• Sin accesos no autorizados: la compatibilidad con VNet permite conectarse a sus recursos sin necesidad de rangos IP de Power Platform ni etiquetas de servicio en la conexión.

Estimación del tamaño de subred para entornos de Power Platform

Los datos de telemetría y las observaciones del año pasado indican que los entornos de producción normalmente requieren de 25 a 30 direcciones IP, con la mayoría de los casos de uso que se encuentran dentro de este intervalo. En función de esta información, asigne de 25 a 30 direcciones IP para entornos de producción y de 6 a 10 direcciones IP para entornos que no sean de producción, como entornos de espacio aislado o de desarrollador. Los contenedores conectados a la red virtual usan principalmente direcciones IP dentro de la subred. Cuando se inicia el uso del entorno, crea un mínimo de cuatro contenedores, que se escalan dinámicamente en función del volumen de llamadas, aunque normalmente permanecen dentro del intervalo de 10 a 30 contenedores. Estos contenedores ejecutan todas las solicitudes de sus respectivos entornos y controlan eficazmente las solicitudes de conexión paralelas.

Planear para varios entornos

Si usa la misma subred delegada para varios entornos de Power Platform, es posible que necesite un bloque mayor de direcciones IP de enrutamiento entre dominios (CIDR) sin clases. Tenga en cuenta el número recomendado de direcciones IP para entornos de producción y no producción al vincular entornos a una sola directiva. Cada subred reserva cinco direcciones IP, por lo que incluye estas direcciones reservadas en la estimación.

Asignación de IP de ejemplo

Considere un inquilino con dos directivas empresariales. La primera directiva es para entornos de producción y la segunda es para entornos que no son de producción.

Política de empresas de producción

Si tiene cuatro entornos de producción asociados a su política empresarial y cada entorno requiere 30 direcciones IP, la asignación total de direcciones IP es:

(Cuatro entornos x 30 DIRECCIONES IP) + 5 direcciones IP reservadas = 125 DIRECCIONES IP

Este escenario requiere un bloque CIDR de /25, que tiene capacidad para 128 IP.

Directiva empresarial de no producción

Para una política empresarial no destinada a producción con 20 entornos de desarrollo y sandbox, y cada entorno requiere 10 direcciones IP, la asignación total de IP es:

(Veinte entornos x 10 DIRECCIONES IP) + 5 direcciones IP reservadas = 205 DIRECCIONES IP

Este escenario requiere un bloque CIDR de /24, que tiene capacidad para 256 direcciones IP y tiene suficiente espacio para agregar más entornos a la directiva empresarial.

Escenarios compatibles

Power Platform admite VNet para complementos y conectores de Dataverse. Con esta funcionalidad, puede crear conectividad segura, privada y de salida desde Power Platform hacia los recursos dentro de su red virtual. Los complementos y conectores de Dataverse mejoran la seguridad de la integración de datos mediante la conexión a orígenes de datos externos desde Power Apps, Power Automate y aplicaciones de Dynamics 365. Por ejemplo, puede hacer lo siguiente:

• Use complementos de Dataverse para conectarse a los orígenes de datos en la nube, como Azure SQL, Azure Storage, blob storage o Azure Key Vault. Puede proteger sus datos contra la filtración de datos y otros incidentes.
• Use complementos de Dataverse para conectarse de forma segura a recursos privados protegidos por puntos de conexión en Azure, como la API web o cualquier recurso de la red privada, como SQL y Web API. Puede proteger sus datos contra las infracciones de datos y otras amenazas externas.
• Use conectores compatibles con la red virtual, como SQL Server, para conectarse de forma segura a los orígenes de datos hospedados en la nube, como Azure SQL o SQL Server, sin exponerlos a Internet. Del mismo modo, puede utilizar el conector de Azure Queue para establecer conexiones seguras a Azure Queues privadas habilitadas para puntos de conexión.
• Utilice el Azure Key Vault connector para conectarse de forma segura a un Azure Key Vault protegido por puntos de conexión.
• Use conectores custom para conectarse de forma segura a los servicios protegidos por puntos de conexión privados en Azure o servicios hospedados en la red privada.
• Use Azure File Storage para conectarse de forma segura al almacenamiento de archivos privado de Azure habilitado con puntos de conexión.
• Use HTTP con Microsoft Entra ID (autenticado previamente) para capturar recursos de forma segura a través de redes virtuales de varios servicios web, autenticados por Microsoft Entra ID o desde un servicio web local.

Limitations

• Los complementos de código bajo de Dataverse que usan conectores no se admiten hasta que esos tipos de conector se actualicen para usar la delegación de subred.
• Utilice operaciones de copia, copia de seguridad y restauración del ciclo de vida del entorno en entornos de Power Platform compatibles con red virtual. Puede realizar la operación de restauración dentro de la misma red virtual y en distintos entornos, siempre que estén conectados a la misma red virtual. Además, la operación de restauración está permitida desde entornos que no admiten redes virtuales hasta aquellos que sí lo hacen.

Regiones soportadas

Antes de crear la red virtual y la directiva empresarial, valide la región del entorno de Power Platform para asegurarse de que se encuentra en una región compatible. Use el Get-EnvironmentRegion cmdlet del módulo de PowerShell de diagnóstico de subredes para obtener la información de la región de su entorno.

Después de confirmar la región de su entorno, asegúrese de configurar su directiva empresarial y los recursos de Azure en las correspondientes regiones de Azure admitidas. Por ejemplo, si el entorno de Power Platform está en el Reino Unido, la red virtual y las subredes deben estar en las regiones uksouth y ukwest Azure. Si una región de Power Platform tiene más de dos pares de regiones disponibles, debe utilizar el par de regiones específico que corresponda a la región de su entorno. Por ejemplo, si Get-EnvironmentRegion devuelve westus para su entorno, la red virtual y las subredes deben estar en eastus y westus.

Servicios compatibles

En la tabla siguiente se enumeran los servicios que admiten la delegación de subred Azure para la compatibilidad de red virtual con Power Platform.

Entornos soportados

La compatibilidad con red virtual para Power Platform no está disponible para todos los entornos de Power Platform. En la tabla siguiente se enumeran los tipos de entorno que admiten la red virtual.

Consideraciones para habilitar la compatibilidad con redes virtuales para el entorno de Power Platform

Cuando se usa compatibilidad con redes virtuales en un entorno de Power Platform, todos los servicios admitidos, como los complementos y conectores de Dataverse, ejecutan solicitudes en tiempo de ejecución en la subred delegada y están sujetas a las directivas de red. Las llamadas a recursos disponibles públicamente empiezan a fallar.

Por ejemplo, un complemento podría intentar conectarse a un servicio disponible públicamente, pero la directiva de red no permite el acceso público a Internet dentro de la red virtual. La directiva de red bloquea la llamada desde el complemento. Para evitar la llamada bloqueada, puede hospedar el servicio disponible públicamente en la red virtual. Como alternativa, si el servicio se hospeda en Azure, puede usar un punto de conexión privado en el servicio antes de activar la compatibilidad con red virtual en el entorno de Power Platform.

Preguntas más frecuentes

¿Cuál es la diferencia entre una puerta de enlace de datos de una red virtual y la compatibilidad con redes virtuales en Power Platform?

Una puerta de enlace de datos de red virtual es una puerta de enlace administrada que se usa para acceder a los servicios de Azure y Power Platform desde dentro de la red virtual sin tener que configurar una puerta de enlace de datos local. Por ejemplo, la pasarela está optimizada para cargas de trabajo de ETL (extracción, transformación, carga) en Power BI y en los flujos de datos de Power Platform.

La compatibilidad con Azure Virtual Network para Power Platform utiliza una delegación de subred de Azure para su entorno de Power Platform. Las cargas de trabajo en el entorno de Power Platform utilizan subredes. Las cargas de trabajo de Power Platform API usan compatibilidad con red virtual porque las solicitudes son de corta duración y están optimizadas para un gran número de solicitudes.

¿En qué escenarios debo usar la compatibilidad con VNet para Power Platform y la puerta de enlace de datos de la red virtual?

La compatibilidad con red virtual para Power Platform es la única opción admitida para todos los escenarios de conectividad saliente desde Power Platform, excepto los flujos de datos de Power BI y Power Platform.

Power BI y los flujos de datos de Power Platform siguen usando la puerta de enlace de datos de red virtual (VNet).

¿Cómo puede garantizar que una subred de red virtual o una puerta de enlace de datos de un cliente no la utiliza otro cliente en Power Platform?

• La compatibilidad con red virtual para Power Platform utiliza la delegación de subred de Azure.

• Cada entorno de Power Platform está vinculado a una subred de red virtual. Sólo las llamadas desde ese entorno pueden acceder a esa red virtual.

• La delegación permite designar una subred específica para cualquier plataforma como servicio (PaaS) de Azure que se deba insertar en la red virtual.

¿Es compatible VNet con la conmutación por error de Power Platform?

Sí, debes delegar las redes virtuales para ambas regiones de Azure que están asociadas con tu región de Power Platform. Por ejemplo, si el entorno de Power Platform está en Canadá, debe crear, delegar y configurar redes virtuales en CanadaCentral y CanadaEast.

¿Cómo puede un entorno de Power Platform de una región conectarse con recursos hospedados en otra región?

Una red virtual vinculada a un entorno de Power Platform debe residir en la región del entorno de Power Platform. Si la red virtual está en otra región, cree una red virtual en la región del entorno de Power Platform y use VNet peering en ambas redes virtuales delegadas de subred de la región de Azure para conectarla con la red virtual de la otra región.

¿Puedo monitorear el tráfico de salida de subredes delegadas?

Yes. Puede usar un grupo de seguridad de red y firewalls para supervisar el tráfico saliente desde subredes delegadas. Para obtener más información, consulte Monitor Azure Virtual Network.

¿Puedo realizar llamadas salientes a Internet desde complementos o conectores después de que mi entorno esté delegado en una subred?

Yes. El acceso enlazado a Internet está disponible de forma predeterminada desde complementos y conectores en un entorno delegado de subred. Adjunte una puerta de enlace NAT de Azure a la subred delegada para que su organización pueda controlar y proteger el acceso saliente. Para más información, consulte Procedimientos recomendados para proteger las conexiones salientes de los servicios de Power Platform.

¿Puedo actualizar el intervalo de direcciones IP de subred después de delegarlo en Microsoft.PowerPlatform/enterprisePolicies?

No, mientras se utilice la característica en su entorno. No se puede cambiar el intervalo de direcciones IP de la subred después de delegarlo en "Microsoft. PowerPlatform/enterprisePolicies". Si cambia el intervalo de direcciones IP, la configuración de delegación se interrumpe y el entorno deja de funcionar. Para cambiar el intervalo de direcciones IP, use Disable-SubnetInjection, realice los cambios necesarios y, a continuación, active la característica para su entorno.

¿Puedo actualizar la dirección DNS de mi red virtual después de delegarla en Microsoft.PowerPlatform/enterprisePolicies?

No, mientras se utilice la característica en su entorno. No se puede cambiar la dirección DNS de la red virtual después de delegarla en Microsoft.PowerPlatform/enterprisePolicies. Si cambia la dirección DNS, el cambio no se recoge en la configuración y es posible que el entorno deje de funcionar. Para cambiar la dirección DNS, use Disable-SubnetInjection para desvincular todos sus entornos de la directiva, realice las actualizaciones necesarias en su VNet, espere 30 minutos para asegurarse de que los cambios se hayan propagado y, a continuación, vuelva a habilitar la inserción de subred mediante Enable-SubnetInjection.

¿Puedo utilizar la misma directiva empresarial para varios entornos de Power Platform?

Yes. Puede utilizar la misma directiva empresarial para varios entornos de Power Platform. Sin embargo, existe una limitación: los entornos de ciclo de lanzamiento anticipado no se pueden utilizar con la misma directiva empresarial que otros entornos.

Mi red virtual tiene configurado un DNS personalizado. ¿Power Platform usa mi DNS personalizado?

Yes. Power Platform usa el DNS personalizado que configure en la red virtual que contiene la subred delegada para resolver todos los puntos de conexión. Después de delegar el entorno, puede actualizar los complementos para usar el punto de conexión correcto para que el DNS personalizado pueda resolverlos.

Mi entorno tiene complementos proporcionados por ISV. ¿Se ejecutarían estos complementos en la subred delegada?

Yes. Todos los complementos de cliente y los complementos de ISV se pueden ejecutar mediante la subred. Si los complementos de ISV tienen conectividad saliente, es posible que tenga que enumerar esas direcciones URL en el firewall.

Mis certificados TLS local punto de conexión no están firmados por autoridades de certificación raíz (CA) conocidas. ¿Admite certificados desconocidos?

N.º Power Platform requiere que el punto de conexión presente un certificado TLS con la cadena completa. No puede agregar su CA raíz personalizada a la lista de CAs de confianza.

¿Cuál es la configuración recomendada de una red virtual dentro del tenant de un cliente?

Power Platform no recomienda ninguna topología específica. Sin embargo, los clientes utilizan ampliamente la topología de red de tipo hub-and-spoke en Azure.

¿Es necesario vincular una suscripción de Azure a mi entorno de Power Platform para activar la compatibilidad con VNet?

Sí, para habilitar la compatibilidad con redes virtuales (VNet) para los entornos de Power Platform, debe asociar una suscripción de Azure al tenant de Power Platform.

¿Cómo utiliza Power Platform la delegación de subred en Azure?

Cuando asigna una subred delegada de Azure a un entorno de Power Platform, el entorno usa la inserción en la red virtual (VNet) para insertar el contenedor en la subred delegada en tiempo de ejecución. Durante este proceso, la tarjeta de interfaz de red (NIC) del contenedor obtiene una dirección IP de la subred delegada. El host (Power Platform) y el contenedor se comunican a través de un puerto local en el contenedor y el tráfico fluye a través de Azure Fabric.

¿Puedo usar una red virtual existente para Power Platform?

Sí, puede usar una red virtual existente para Power Platform si delega una sola subred nueva dentro de la red virtual específicamente en Power Platform. Debe dedicar la subred delegada para la delegación de subred y no puede usarla para otros fines.

¿Puedo reutilizar la misma subred delegada en varias directivas empresariales?

N.º No se puede reutilizar la misma subred en varias directivas empresariales. Cada directiva empresarial de Power Platform debe tener su propia subred única para la delegación.

¿Qué es un complemento de Dataverse?

Un complemento de Dataverse es un fragmento de código personalizado que puede implementar en un entorno de Power Platform. Puede configurar este complemento para que se ejecute durante eventos (como un cambio en los datos) o desencadenarlo como una API personalizada. Para obtener más información, consulte Complementos de Dataverse.

¿Cómo se ejecuta un complemento de Dataverse?

Un complemento de Dataverse se ejecuta dentro de un contenedor. Al asignar una subred delegada a un entorno de Power Platform, la tarjeta de interfaz de red (NIC) del contenedor obtiene una dirección IP del espacio de direcciones de esa subred. El host (Power Platform) y el contenedor se comunican a través de un puerto local en el contenedor y el tráfico fluye a través de Azure Fabric.

¿Se pueden ejecutar varios complementos dentro del mismo contenedor?

Yes. En un entorno determinado de Power Platform o Dataverse, varios complementos se pueden ejecutar dentro del mismo contenedor. Cada contenedor usa una dirección IP del espacio de direcciones de subred y cada contenedor puede ejecutar varias solicitudes.

¿Cómo controla la infraestructura un aumento de las ejecuciones simultáneas de complementos?

A medida que aumenta el número de ejecuciones simultáneas de complementos, la infraestructura se escala horizontalmente hacia fuera o hacia dentro de forma automática para adaptarse a la carga. La subred delegada a un entorno de Power Platform debe tener suficientes espacios de direcciones para gestionar el volumen máximo de ejecuciones para las cargas de trabajo en ese entorno de Power Platform.

¿Quién controla la red virtual y las directivas de red asociadas a ella?

Tiene la propiedad y el control sobre la red virtual y sus directivas de red asociadas. Por otro lado, Power Platform usa las direcciones IP asignadas de la subred delegada dentro de esa red virtual.

¿Los complementos compatibles con Azure admiten VNet?

No, los complementos compatibles con Azure no admiten la red virtual.

Pasos siguientes

Configuración de la compatibilidad con redes virtuales

Contenido relacionado

Solución de problemas de red virtual