如何安全连接Microsoft Fabric至IP受限的Azure API Management实例？

优先方案：Azure Private Link（专用终结点） #

这是最安全合规的选择，完全绕开公网流量，让Fabric和APIM通过Azure私有网络通信：

• 配置步骤：
  • 给你的Azure APIM实例创建专用终结点，部署到与Fabric工作区关联的虚拟网络（或已对等互联的VNet）中。
  • 在Microsoft Fabric里，确保工作区已启用托管虚拟网络，并把数据流/Notebook设置为使用这个托管VNet。
  • 配置APIM的专用DNS区域，保证Fabric能正确解析APIM的专用终结点域名。
• 核心优势：不用维护IP白名单，全程私有网络流量，没有公网暴露风险，完美匹配IP限制的安全需求。

备选方案：精准IP白名单（最小化范围） #

如果暂时没法部署Private Link，可采用精准IP白名单策略，避免开放整个区域：

• 获取Fabric的出站IP：
  • 要是你的Fabric工作区启用了托管虚拟网络并配置了专用出站IP，直接从Fabric工作区设置里就能拿到对应的IP地址。
  • 没启用专用出站IP的话，可以查询Fabric所在区域的官方IP范围，但尽量筛选出和你的工作区实际关联的子集（比开放整个区域更精准）。
• 配置APIM：把拿到的精准IP/IP段加到APIM的允许列表里。
• 注意：微软可能会调整Fabric的IP范围，记得定期检查更新白名单。

内容的提问来源于stack exchange，提问作者Jostein Sortland