Netzwerksicherheitsperimeter für Azure App Configuration (private Vorschau)

Azure-Netzwerksicherheitsperimeter (NSP) ermöglicht Ihnen, eine logische Netzwerkisolationsgrenze für PaaS-Ressourcen zu definieren, z. B. für einen App Configuration-Speicher, die außerhalb eines virtuellen Netzwerks bereitgestellt werden. Standardmäßig schränkt ein Netzwerksicherheitsperimeter den Zugriff auf PaaS-Ressourcen innerhalb des Umkreises ein. Sie können jedoch explizite Zugriffsregeln für eingehenden und ausgehenden Datenverkehr konfigurieren.

Wenn Sie einen App-Konfigurationsspeicher einem Netzwerksicherheitsperimeter zuordnen, können Sie eingehenden und ausgehenden Datenverkehr mit Zugriffsregeln steuern, einen gemeinsamen Satz von Regeln für mehrere PaaS-Ressourcen mithilfe von Umkreisprofilen teilen und den Netzwerkdatenverkehr über Diagnoseprotokolle überwachen. Weitere Informationen finden Sie unter "Gründe für die Verwendung eines Netzwerksicherheitsperimeters"?

Übergang zu einem Netzwerksicherheitsperimeter

Eine Ressourcenzuordnung mit einem Netzwerksicherheitsperimeter unterstützt zwei Zugriffsmodi: Übergang und Erzwungen. Der Übergangsmodus ist als temporärer Zwischenschritt gedacht, mit dem Sie einen Netzwerksicherheitsperimeter einführen können, ohne die vorhandene Konnektivität zu unterbrechen, indem Sie auf die vorhandenen Netzwerkzugriffsregeln des App-Konfigurationsspeichers zurückgreifen, wenn keine Umkreisregel übereinstimmt. Unter Transition zu einem Netzwerksicherheitsperimeter in Azure erfahren Sie, wie Sie den Übergangsmodus für eine reibungslose Einführung von NSP verwenden. Eine Aufschlüsselung darüber, wie der Zugriffsmodus einer Ressourcenzuordnung mit der Einstellung für den Zugriff auf das öffentliche Netzwerk des App-Konfigurationsspeichers interagiert, finden Sie unter Verschieben neuer Ressourcen in den Netzwerksicherheitsperimeter.

Durchsetzen von Netzwerkbeschränkungen mit einem Netzwerksicherheitsperimeter

Um Netzwerkbeschränkungen mit einem Netzwerksicherheitsperimeter durchzusetzen, stellen Sie sicher, dass die Ressourcenzuordnung des Netzwerksicherheitsperimeters auf den Modus „Erzwungen“ festgelegt ist. In diesem Modus lässt der App-Konfigurationsspeicher nur eingehende und ausgehende Anforderungen zu, die vom zugehörigen Netzwerksicherheitsperimeterprofil zulässig sind, unabhängig von der Einstellung für den Zugriff auf das öffentliche Netzwerk des App-Konfigurationsspeichers.

Überlegungen für private Endpunktanforderungen

Eingehende Anfragen an den App Configuration-Speicher über einen gültigen privaten Endpunkt werden von einem Netzwerksicherheitsperimeter immer zugelassen, unabhängig vom Zuordnungsmodus oder den Profilregeln des Perimeters.

Überlegungen zur vom Kunden verwalteten Schlüsselverschlüsselung

Wenn Ihr App-Konfigurationsspeicher customer-managed key encryption verwendet, kommuniziert der App-Konfigurationsdienst mit einer Azure Key Vault Ressource, um auf Ihren Verschlüsselungsschlüssel zuzugreifen. Wenn die ausgehenden Anfragen des Stores den NSP-Regeln unterliegen (der öffentliche Netzwerkzugriff ist durch den Perimeter gesichert oder die NSP-Zuordnung befindet sich im erzwungenen Modus), müssen die Zugriffsregeln des Perimeters die ausgehende Kommunikation mit der Azure Key Vault-Ressource zulassen. Um sicherzustellen, dass der App-Konfigurationsdienst weiterhin auf den Verschlüsselungsschlüssel zugreifen kann, müssen Sie ihren Netzwerksicherheitsperimeter auf eine der folgenden Arten konfigurieren:

  • Same Perimeter: Platzieren Sie die Azure Key Vault im selben Netzwerksicherheitsperimeter wie Ihr App-Konfigurationsspeicher. Wenn sich beide Ressourcen innerhalb desselben Umkreises befinden, ist die Kommunikation zwischen ihnen automatisch zulässig.
  • FQDN-basierte Regel für ausgehenden Zugriff: Fügen Sie dem Netzwerksicherheitsperimeterprofil, das Ihrem App Configuration-Speicher zugeordnet ist, eine Regel für ausgehenden Zugriff auf Basis eines vollqualifizierten Domänennamens (FQDN) hinzu. Die Regel muss den Endpunkt des Key Vault auflisten, der den vom Kunden verwalteten Schlüssel enthält (z. B. mykeyvault.vault.azure.net).

Wenn keine bedingung erfüllt ist, kann der App-Konfigurationsspeicher nicht auf den Verschlüsselungsschlüssel zugreifen, und Anforderungen an den Store schlagen fehl.

Überlegungen zur Überwachung

Wenn für Ihren App Configuration-Speicher die Überwachung über Diagnoseeinstellungen aktiviert ist, müssen sich Protokollziele (z. B. Log Analytics-Arbeitsbereiche, Speicherkonten und Event Hubs) in demselben Netzwerksicherheitsperimeter wie der App Configuration-Speicher befinden. FQDN-basierte Ausgehende Zugriffsregeln gelten nicht für Überwachungsziele, sodass kein Ziel außerhalb des Umkreises Diagnosedaten empfängt.

Einschränkungen

  • Azure App Configuration Unterstützung für den Netzwerksicherheitsperimeter befindet sich derzeit in der privaten Vorschau, wobei der Zugriff auf eine Reihe von Abonnements beschränkt ist.
  • Während der privaten Vorschau können Vorgänge der Netzwerksicherheitsperimeterverwaltung, z. B. das Zuordnen eines App-Konfigurationsspeichers zu einem Umkreis oder anzeigen der Zuordnungskonfiguration, nur mithilfe von ARM-Vorlagen oder der Azure CLI ausgeführt werden. Ein Tutorial dazu, wie Sie mithilfe der Azure CLI eine Zuordnung zu einem App Configuration-Speicher herstellen, finden Sie unter Azure App Configuration einem Netzwerksicherheitsperimeter zuordnen.
  • Bestimmte Funktionen des Netzwerksicherheitsperimeters, z. B. abonnementbasierte Regeln für eingehenden Zugriff, funktionieren nicht mit Authentifizierung mit Zugriffsschlüssel. Verwenden Sie Microsoft Entra ID-Authentifizierung für vollständige NSP-Funktionen.
  • Zu diesem Zeitpunkt kann ein App-Konfigurationsspeicher in einem Netzwerksicherheitsperimeter keine Ereignisse an Azure Event Grid senden. Wenn für einen App Configuration Store ein Azure App Configuration-Ereignis-Abonnement konfiguriert ist, können Sie den Store nicht mit einem Netzwerksicherheits-Perimeter verknüpfen. Wenn ein Store mit einem Netzwerksicherheits-Perimeter verknüpft ist, können Sie auch kein Abonnement für Ereignisse für den Store aktivieren.
  • Abonnementbasierte und IP-basierte Zugriffsregeln gelten nicht für den ursprünglichen Aufrufer bei Anforderungen an die Datenebene, die über Bereitstellungstools wie ARM-Vorlagen, Bicep oder Terraform erfolgen. Da diese Anfragen vom Azure Resource Manager an den App Configuration-Speicher weitergeleitet werden, werden das Abonnement und die IP-Adresse des ursprünglichen Aufrufers nicht zur Auswertung an den Perimeter weitergegeben.

Troubleshooting

Zugriffsfehler bei Features

Azure CLI

(BadRequest) Dieses Feature ist für ein bestimmtes Abonnement noch nicht verfügbar. Code: BadRequest-Nachricht: Dieses Feature ist für ein bestimmtes Abonnement noch nicht verfügbar.

Azure Portal

Fehler beim Zuordnen der Ressource. Dieses Feature ist für ein bestimmtes Abonnement noch nicht verfügbar.

Diese Fehler deuten darauf hin, dass das von Ihnen verwendete Abonnement keinen Zugriff auf das Netzwerksicherheitsperimeterfeature für Azure App Configuration hat, das sich derzeit in der privaten Vorschau befindet.

Fehler bei der RP-Registrierung

Wenn Sie einen App Configuration Store mit einem Netzwerksicherheits-Perimeter in einem anderen Abonnement als dem Store verknüpfen, müssen Sie sicherstellen, dass für das Abonnement des Netzwerksicherheits-Perimeters der Microsoft.AppConfiguration-Ressourcenanbieter registriert ist. Wenn der Ressourcenanbieter nicht registriert ist, wird beim Ausführen der Zuordnung die folgende Fehlermeldung angezeigt:

Der Vorgang kann nicht abgeschlossen werden, da das Abonnement des Netzwerksicherheitsperimeters '<SubscriptionId>' nicht für die Verwendung des Ressourcenanbieters 'Microsoft.AppConfiguration' registriert ist. Siehe https://aka.ms/appconfig/NSPTroubleshooting für Anweisungen zum Registrieren eines Ressourcenanbieters.

Führen Sie die folgenden Schritte aus, um diesen Fehler zu beheben:

  1. Registrieren Sie den Microsoft.AppConfiguration-Ressourcenanbieter im Abonnement des Netzwerksicherheitsperimeters.
  2. Wiederholen Sie die Zuordnung zwischen dem App-Konfigurationsspeicher und dem Netzwerksicherheitsperimeter.

Weitere Informationen zum Registrieren eines Abonnements für einen Ressourcenanbieter finden Sie unter Registrieren des Ressourcenanbieters.

Zugriffsfehler bei kundenseitig verwalteten Schlüsseln

Wenn Ihr App-Konfigurationsspeicher die vom Kunden verwaltete Schlüsselverschlüsselung verwendet, wird möglicherweise die folgende Fehlermeldung angezeigt, wenn Sie den Speicher einem Netzwerksicherheitsperimeter zuordnen:

Die angeforderte Netzwerksicherheitsperimeterzuordnung kann nicht angewendet werden, da sie den Zugriff auf den vom Kunden verwalteten Schlüssel des Konfigurationsspeichers blockieren würde. Unter https://aka.ms/appconfig/NSPTroubleshooting finden Sie eine Anleitung zur Konfiguration eines NSP für Konfigurations-Stores, die einen vom Kunden verwalteten Schlüssel verwenden.

Dieser Fehler tritt auf, wenn die Konfiguration des Netzwerksicherheitsperimeters verhindern würde, dass der App-Konfigurationsspeicher die Azure Key Vault erreicht, die seinen vom Kunden verwalteten Schlüssel enthält. Um diesen Fehler zu beheben, konfigurieren Sie den Netzwerksicherheitsperimeter, um den Zugriff auf die Key Vault zu ermöglichen, wie in Considerations für die Verschlüsselung von vom Kunden verwalteten Schlüsseln beschrieben, und versuchen Sie dann die Zuordnung erneut.

Verwandte Inhalte

  • Last updated on