On-premises data gateway

Wat is een on-premises data gateway?

Een on-premises data gateway is een Windows-programma dat je installeert op een server binnen je eigen netwerk. Het vormt de brug tussen Microsoft-clouddiensten zoals Power BI, Microsoft Fabric, Power Automate, Power Apps en Logic Apps en de data die bij jou intern staat: een SQL Server-databank, bestandsshares op een fileserver, of de databank achter je ERP-pakket.

Het probleem dat de gateway oplost is eenvoudig. Een clouddienst kan niet zomaar je netwerk binnen, en dat wil je ook niet. Zonder gateway zou je poorten in je firewall moeten openzetten of je data naar buiten moeten kopiëren. De gateway draait dat om: hij belt zelf naar buiten, de cloud belt nooit naar binnen.

Zie de gateway als een koerier die op vaste momenten bij de clouddienst gaat vragen of er werk klaarligt. Ligt er een opdracht, dan haalt hij binnen jouw gebouw de juiste dossiers op en levert hij het resultaat af. Niemand van buiten hoeft ooit binnen.

Hoe werkt de gateway?

De gateway maakt uitsluitend uitgaande verbindingen. Er hoeft geen enkele inkomende poort open in je firewall. Alle communicatie vanuit de cloud komt binnen als antwoord op verbindingen die de gateway zelf opzet.

Een refresh van een rapport verloopt zo:

1. De clouddienst maakt de opdracht klaar
   Power BI stelt de query op, voegt er de versleutelde inloggegevens voor jouw databron aan toe en zet alles in een wachtrij.

2. De gateway pikt de opdracht op
   De gateway controleert regelmatig via Azure Relay, een Azure-dienst voor dit soort verbindingen, of er werk klaarstaat. Die verbinding vertrekt altijd vanuit jouw netwerk en is versleuteld.

3. De inloggegevens worden lokaal ontsleuteld
   De inloggegevens voor je databron staan versleuteld opgeslagen in de clouddienst en worden pas op jouw gateway-server ontsleuteld.

4. De query draait op je bron
   De gateway verbindt met je databank, voert de query uit en stuurt het resultaat via dezelfde uitgaande verbinding terug naar de cloud.

Bij grote refreshes buffert de gateway de resultaten eerst op zijn eigen server voor hij ze doorstuurt. Microsoft raadt daarom een SSD aan voor die tijdelijke opslag. Hou er ook rekening mee dat niet alleen refreshes langs de gateway passeren: gebruik je DirectQuery, dan vertrekt er bij elke klik in het rapport een query via de gateway naar je bron. Geef de server dus voldoende geheugen en CPU.

Standaardmodus, personal mode en de VNet data gateway

Standaardmodus
Eén gateway-installatie die meerdere gebruikers en meerdere databronnen bedient, voor alle ondersteunde diensten tegelijk. Dit is de modus die je in een bedrijf wil: centraal beheerd, met meerdere beheerders die elkaars werk kunnen overnemen.

Personal mode
Een variant die aan één gebruiker hangt en enkel met Power BI werkt. Delen met collega's kan niet. Handig voor wie alleen werkt, maar in een team is het meestal het begin van problemen: de gateway staat dan op een laptop die 's avonds dichtklapt, en niemand anders kan erbij.

VNet data gateway
Een door Microsoft beheerde variant voor databronnen die in een Azure virtueel netwerk zitten. Je installeert niets en je hebt er geen eigen server voor nodig, maar je hebt er wel een betaalde capaciteit voor nodig, zoals een Fabric-capaciteit of Power BI Premium. Voor bronnen die bij jou op kantoor staan helpt deze variant niet; hij bestaat voor Azure-bronnen die je bewust van het publieke internet hebt afgeschermd.

Gateway houden of data naar de cloud verhuizen?

Vroeg of laat komt de vraag: blijven we via de gateway werken, of verhuizen we de data naar de cloud zodat de gateway overbodig wordt?

De gateway is de logische keuze zolang het bronsysteem zelf on-premises draait. Draait je ERP op een server in huis, dan staat de meest actuele data daar, en haalt de gateway ze op waar ze ontstaat. Je bouwt geen extra kopieën en je onderhoudt geen extra pijplijnen. Combineer je dat met incremental refresh, dan stuurt de gateway per refresh maar een fractie van de data door en blijft de belasting beperkt.

Verhuizen wordt interessant wanneer de data toch al onderweg is naar de cloud. Stap je over op een cloud-ERP of bouw je een data warehouse in Fabric, dan verdwijnt de on-premises bron vanzelf uit beeld. Ook wanneer refreshes zwaar worden of wanneer je dezelfde data in meerdere tools nodig hebt, kan één centrale kopie in de cloud eenvoudiger zijn dan tien rapporten die elk via de gateway dezelfde tabellen opvragen.

Let wel: verhuizen betekent een pijplijn bouwen en onderhouden, plus opslag en rekenkracht in de cloud betalen. Je ruilt een gateway-server in voor een stuk data-engineering. Voor veel KMO's is de gateway daarom geen tussenoplossing maar een prima eindstation, zeker zolang het bronsysteem binnen blijft.

Wanneer heb je geen gateway nodig?

Voor databronnen die zelf al in de cloud staan. SharePoint Online, Dataverse, een Azure SQL-databank die publiek bereikbaar is: daar verbindt Power BI rechtstreeks mee, zonder gateway.

De uitzondering: cloudbronnen die je hebt afgeschermd achter een firewall, een VPN of een virtueel netwerk. Dan heb je alsnog een gateway of een VNet data gateway nodig om erbij te raken.

De vuistregel is simpel. Staat de data op een machine die jij beheert of in een netwerk dat je hebt afgesloten, dan heb je een gateway nodig. Staat ze in een publiek bereikbare clouddienst, dan niet.

Waar moet je op letten bij het gebruik van een gateway

Zet hem op een server die altijd aanstaat
Niet op de laptop van een collega. Gaat die machine in slaapstand of mee op vakantie, dan valt elke refresh stil. Microsoft zegt het zelf expliciet: installeer de gateway niet op een computer die uitgeschakeld, in slaapstand of offline kan zijn. Een bekabelde netwerkverbinding werkt bovendien betrouwbaarder dan wifi.

Hou de versie bij
Microsoft brengt elke maand een nieuwe versie uit en ondersteunt enkel de laatste zes releases actief. Een gateway die een jaar niet is bijgewerkt, is een refresh-storing in wording. Maak van de update een terugkerende beheertaak, net als Windows-updates.

Eén gateway is een single point of failure
Valt de server uit, dan liggen al je refreshes en DirectQuery-rapporten plat. Voor kritieke rapportering zet je een cluster op: een tweede gateway op een andere machine die het overneemt wanneer de eerste onbereikbaar is. Zorg er dan voor dat beide dezelfde versie draaien.

Bewaar de recovery key
Bij de installatie kies je een recovery key. Die heb je nodig om de gateway te verhuizen, te herstellen of over te nemen. Microsoft kan die sleutel niet voor je terughalen. Bewaar hem dus in de wachtwoordkluis van het bedrijf, niet in het hoofd van één collega.

Regel het eigenaarschap
De inloggegevens van elke databron worden centraal aan de gateway gekoppeld. Spreek af wie ze beheert en stel meerdere beheerders in; dat kan ook via een security group. Vertrekt de collega die de gateway ooit installeerde, dan neem je hem met de recovery key en een tweede beheerder gewoon over. Zonder die twee wordt het een vervelende puzzel.

Vermijd wildgroei aan personal gateways
In veel bedrijven ontstaat spontaan een verzameling personal mode-gateways op laptops, elk gekoppeld aan één collega. Niemand heeft dan nog overzicht over welke rapporten via welke machine verversen. Centraliseer op één gateway in standaardmodus, op een degelijke server, met afgesproken beheer.

FAQ over de on-premises data gateway

1. Is zo'n gateway veilig?
De gateway maakt enkel uitgaande, versleutelde verbindingen; er gaat geen enkele poort open voor inkomend verkeer. De inloggegevens voor je databronnen staan versleuteld in de cloud, kunnen daar niet ontsleuteld worden en worden pas op jouw eigen server leesbaar gemaakt op het moment dat de gateway je databron aanspreekt.

2. Heb ik een gateway nodig voor SharePoint?
Voor SharePoint Online niet, dat is een cloudbron waar Power BI rechtstreeks aan kan. Draait er nog een oude SharePoint-server binnen je eigen netwerk, dan wel.

3. Moet de gateway op dezelfde server staan als de databank?
Nee. De gateway verbindt via het netwerk met je bron, zoals elke andere client. Microsoft raadt wel aan om hem zo dicht mogelijk bij de databron te plaatsen om vertraging te beperken.

4. Wat kost een gateway?
De software is gratis en er zijn geen licentievereisten om een gateway te installeren en te registreren. Je betaalt wel de server waarop hij draait en de beheertijd. De VNet data gateway is de uitzondering: die vereist een Fabric- of Premium-capaciteit.

5. Werkt de gateway ook voor Excel-bestanden op een netwerkschijf?
Ja. Bestandsshares binnen je netwerk zijn een gewone databron voor de gateway, net als databanken. Zo ververst een rapport op basis van een gedeelde Excel zonder dat iemand het bestand manueel moet opladen.