Sichern Ihrer Azure Container Apps-Bereitstellung

Azure Container-Apps bieten Funktionen zum Ausführen containerisierter Anwendungen, ohne komplexe Infrastruktur zu verwalten und gleichzeitig Sicherheitsfeatures auf Unternehmensniveau bereitzustellen. Befolgen Sie bei der Bereitstellung dieses Diensts bewährte Methoden zum Schutz von Daten, Konfigurationen und Infrastruktur.

Dieser Artikel enthält Sicherheitsempfehlungen zum Schutz Ihrer Azure-Container-Apps-Bereitstellung.

Die Sicherheitsempfehlungen in diesem Artikel implementieren Zero Trust-Prinzipien: "Explizit überprüfen", "Minimalen Berechtigungszugriff verwenden" und "Verletzung als gegeben ansehen". Umfassende Anleitungen zu Zero Trust finden Sie im Zero Trust Guidance Center.

Dienstspezifische Sicherheit

Container-Apps bieten einzigartige Sicherheitsfunktionen, die speziell für containerisierte Workloads, Microservices-Architekturen und cloudeigene Anwendungen entwickelt wurden.

  • Konfigurieren von Sicherheitsgrenzen auf Umgebungsebene: Verwenden Sie Container-Apps-Umgebungen, um Sicherheitsgrenzen zwischen verschiedenen Anwendungen und Workloads zu erstellen. Trennen Sie Produktions- und Nichtproduktionsumgebungen, um unbefugten Zugriff und Konfigurationsabweichungen zu verhindern. Weitere Informationen finden Sie unter Umweltübersicht.

  • Implementieren Sie ordnungsgemäße Skalierungs- und Ressourcengrenzen: Konfigurieren Sie geeignete Skalierungsregeln und Ressourcengrenzwerte, um Ressourcenausschöpfungsangriffe zu verhindern und eine faire Ressourcenzuordnung zwischen Anwendungen sicherzustellen. Überwachen Sie Skalierungsereignisse auf ungewöhnliche Muster, die auf Sicherheitsprobleme hinweisen können. Weitere Informationen finden Sie unter Festlegen von Skalierungsregeln in Azure Container Apps.

Netzwerksicherheit

Netzwerksicherheitskontrollen verhindern nicht autorisierten Zugriff auf Container-App-Endpunkte und richten sichere Kommunikationsgrenzen zwischen Ihren Anwendungen und externen Diensten ein.

  • Container-Apps in einem virtuellen Netzwerk bereitstellen: Um den Netzwerkverkehr zu steuern und den Zugriff auf Backend-Ressourcen zu sichern, integrieren Sie Ihre Container-App-Umgebung mit Azure Virtual Networks. Die Integration virtueller Netzwerke ermöglicht Es Ihren Apps, auf Ressourcen in privaten Netzwerken zuzugreifen und gleichzeitig internetbasierte Angriffe zu schützen. Weitere Informationen finden Sie unter Konfiguration des virtuellen Netzwerks.

  • Aktivieren Sie private Endpunkte für eingehenden Zugriff: Beseitigen Sie die öffentliche Internetexposition mithilfe von Azure Private Link, um den Clientdatenverkehr über Ihr virtuelles Netzwerk weiterzuleiten. Private Endpunkte stellen eine private IP-Adresse aus Ihrem virtuellen Netzwerk bereit und bringen Ihre Container-App effektiv in Ihren Netzwerkperimeter. Weitere Informationen finden Sie unter Verwenden eines privaten Endpunkts mit einer Azure Container Apps-Umgebung.

  • Konfigurieren Sie interne Umgebungen für die vollständige Isolierung: Stellen Sie interne Container-Apps-Umgebungen bereit, um den gesamten eingehenden Zugriff auf Clients innerhalb Ihres virtuellen Netzwerks einzuschränken. Interne Umgebungen bieten eine vollständige Isolierung vom öffentlichen Internet und ermöglichen eine sichere Kommunikation zwischen Container-Apps und anderen Netzwerkressourcen. Weitere Informationen finden Sie unter Networking in Azure Container Apps Umgebung.

  • Deaktivieren Des öffentlichen Netzwerkzugriffs: Konfigurieren Sie Container-Apps-Umgebungen, um den öffentlichen Netzwerkzugriff bei Verwendung privater Endpunkte zu deaktivieren, um sicherzustellen, dass alle Verbindungen über Ihre kontrollierte virtuelle Netzwerkumgebung erfolgen. Diese Konfiguration verhindert nicht autorisierte Versuche des externen Zugriffs. Weitere Informationen finden Sie unter Private Endpunkte und DNS für virtuelle Netzwerke in Azure Container Apps-Umgebungen.

  • Implementieren Sie Azure Firewall für die Steuerung ausgehender Datenverkehr: Verwenden Sie azure Firewall mit benutzerdefinierten Routen (UDR), um den gesamten ausgehenden Datenverkehr aus Ihren Container-Apps zu steuern und zu überwachen, um sicherzustellen, dass die Kommunikation nur mit genehmigten Zielen erfolgt. Weitere Informationen finden Sie unter Enable User Defined Routes (UDR).

  • Konfigurieren Sie Netzwerksicherheitsgruppen mit restriktiven Regeln: Wenden Sie Netzwerksicherheitsgruppen an, um den Datenfluss zu und von Ihren Container-Apps-Subnetzen zu steuern, indem Sie Deny-by-Default-Richtlinien mit spezifischen Erlaubnisregeln für erforderliche Kommunikationsmuster implementieren. Weitere Informationen finden Sie unter Absichern eines vorhandenen virtuellen Netzwerks mit einer Netzwerksicherheitsgruppe.

  • Konfigurieren von Einschränkungen auf App-Ebene: Konfigurieren Von Eingangseinstellungen mit geeigneten Sicherheitssteuerelementen, einschließlich Clientzertifikatauthentifizierung und IP-Einschränkungen für die sichere Gefährdung von Containeranwendungen. Verwenden Sie den internen Eingangseingang für Anwendungen, auf die nicht über das Internet zugegriffen werden sollte. Weitere Informationen finden Sie unter Ingress-Übersicht.

Identitäts- und Zugriffsverwaltung

Identitäts- und Zugriffsverwaltungskontrollen stellen sicher, dass nur autorisierte Benutzer und Anwendungen auf Container-Apps-Ressourcen mit entsprechenden Berechtigungen und Authentifizierungsmechanismen zugreifen können.

  • Authentifizierung und Autorisierung aktivieren: Konfigurieren Sie die integrierte Authentifizierung mithilfe von Microsoft Entra ID und anderen Identitätsanbietern, um Container-App-Endpunkte über grundlegende Zugriffssteuerungen hinaus zu schützen. Diese Konfiguration bietet eine zentrale Identitätsverwaltung und unterstützt benutzerdefinierte Autorisierungsregeln. Weitere Informationen finden Sie unter Authentication und Autorisierung in Azure Container Apps.

  • Verwenden Sie verwaltete Identitäten für Dienstverbindungen: Konfigurieren Sie vom System zugewiesene oder vom Benutzer zugewiesene verwaltete Identitäten, um sich bei anderen Azure-Diensten zu authentifizieren, ohne Anmeldeinformationen im Code oder in der Konfiguration zu speichern. Verwaltete Identitäten eliminieren den Aufwand für die Verwaltung von Anmeldedaten und bieten eine automatische Rotation geheimer Daten. Weitere Informationen finden Sie unter Use managed Identities in Azure Container Apps.

  • Implementierung von rollenbasierter Zugriffskontrolle (RBAC): Nur die für jede Container-Apps-Verwaltungsaufgabe erforderlichen Berechtigungen zuweisen. Container-Apps-spezifische eingebaute Rollen können einen engeren Zugriff bieten als breite Contributor- oder Owner-Zuweisungen, aber einige verwenden Wildcard-Berechtigungen, die Aktionen zum Lesen von Geheimwerten enthalten. Wenn keine eingebaute Rolle die benötigte Zugriffsgrenze bereitstellt, erstelle eine benutzerdefinierte Rolle mit expliziten Berechtigungen. Weitere Informationen finden Sie unter Berechtigungen zur Verwaltung von Geheimnissen und integrierte Azure-Rollen für Container.

  • Konfigurieren der Microsoft Entra ID-Authentifizierung: Verwenden Sie Microsoft Entra-ID für die zentrale Identitätsverwaltung, und aktivieren Sie Richtlinien für bedingten Zugriff, um den Zugriff basierend auf Benutzer-, Standort- und Gerätebedingungen zu steuern. Diese Konfiguration bietet Authentifizierungsfunktionen auf Unternehmensniveau mit mehrstufiger Authentifizierungsunterstützung. Weitere Informationen finden Sie unter Authentifizierung und Autorisierung in Azure Container Apps mit Microsoft Entra ID aktivieren.

  • Aktivieren Sie den Tokenspeicher für die sichere Authentifizierung: Verwenden Sie das integrierte Tokenspeicherfeature, um Authentifizierungstoken sicher unabhängig vom Anwendungscode zu verwalten. Der Tokenspeicher bietet eine automatische Tokenaktualisierung und reduziert die Angriffsfläche, indem benutzerdefinierter Tokenverwaltungscode eliminiert wird. Weitere Informationen finden Sie unter Aktivieren eines Authentifizierungs-Token-Speichers.

Datenschutz

Datenschutzmechanismen schützen vertrauliche Informationen, die von Container-Apps verarbeitet werden, durch Verschlüsselung, sichere Speicherung und ordnungsgemäße Handhabung von geheimen und Konfigurationsdaten.

  • Erzwingen sie HTTPS für alle Kommunikation: Konfigurieren Sie den Envoy-Proxy, um den gesamten HTTP-Datenverkehr an HTTPS umzuleiten, um sicherzustellen, dass alle Datenübertragungen TLS-Verschlüsselung verwenden. Setzen Sie allowInsecure: false in Ihrer Ingress-Konfiguration fest, um unverschlüsselte Verbindungen zu verhindern. Weitere Informationen finden Sie unter Einrichten von HTTPS- oder TCP-Eingang in Azure-Container-Apps.

  • Verwenden Sie Azure Key Vault für die Verwaltung geheimer Schlüssel: Speichern von Verbindungszeichenfolgen, API-Schlüsseln und anderen geheimen Schlüsseln in Azure Key Vault anstelle von Anwendungseinstellungen. Verwenden Sie Key Vault-Verweise, um Geheimnisse zur Laufzeit abzurufen und gleichzeitig eine zentralisierte Geheimnisverwaltung mit verbesserten Sicherheits- und Überwachungsfunktionen aufrechtzuerhalten. Weitere Informationen finden Sie unter Verwalten von Geheimnissen in Azure Container Apps.

  • Aktivieren der gegenseitigen Transport Layer Security (mTLS): Verwenden Sie mTLS zum Authentifizieren und Verschlüsseln des Datenverkehrs zwischen Diensten, wobei bidirektionale Authentifizierung bereitgestellt wird, die sowohl Client- als auch Serveridentitäten überprüft. Dieses Feature verbessert die Sicherheit für die Dienst-zu-Dienst-Kommunikation in Ihrer Container-App-Umgebung. Weitere Informationen finden Sie unter Use Mutual Transport Layer Security (mTLS).

  • Implementiere ein richtiges Secrets-Management: Nutze den integrierten Geheimnisspeicher von Container Apps, um sensible Werte mit korrekter Isolation und Zugriffskontrollen zu speichern, und vermeide es, Geheimnisse direkt in Container-Images oder Umgebungsvariablen zu speichern. Weitere Informationen finden Sie unter Berechtigungen zur Verwaltung von Geheimnissen.

  • Sicherer Containerimagespeicher: Speichern von Containerimages in der Azure-Containerregistrierung mit aktivierter Authentifizierung und Konfigurieren der Georeplikation für die Notfallwiederherstellung. Verwenden Sie private Registrierungen anstelle öffentlicher Repositorys für Produktionsworkloads, um die Kontrolle über den Imagezugriff zu behalten. Weitere Informationen finden Sie unter Authentifizieren mit einer Azure-Containerregistrierung.

Protokollierung und Überwachung

Umfassende Protokollierung und Überwachung bieten Einblicke in Container-Apps-Vorgänge, Sicherheitsereignisse und Leistungsmetriken, um die Bedrohungserkennung und operative Überwachung zu ermöglichen.

  • Aktivieren Sie die Integration von Azure Monitor Log Analytics: Konfigurieren Sie die Integration des Log Analytics-Arbeitsbereichs, um System- und Anwendungsprotokolle aus allen Container-Apps in Ihrer Umgebung zu sammeln und zu analysieren. Diese Konfiguration bietet eine zentrale Protokollverwaltung und unterstützt die Sicherheitsüberwachung und Complianceüberwachung. Weitere Informationen finden Sie unter Überwachen von Protokollen in Azure-Container-Apps mit Log Analytics.

  • Konfigurieren von Diagnoseeinstellungen: Aktivieren Sie Diagnoseeinstellungen zum Streamen von Container-App-Protokollen und Metriken für Azure Monitor-Protokolle, Speicherkonten oder Event Hubs für eine zentrale Analyse und langfristige Aufbewahrung. Diese Konfiguration unterstützt Sicherheitsuntersuchungen und Complianceanforderungen. Weitere Informationen finden Sie unter Observability in Azure Container Apps.

  • Einrichten von Azure Monitor-Warnungen: Konfigurieren Sie Warnungen für verdächtige Aktivitäten, einschließlich fehlgeschlagener Authentifizierungen, ungewöhnliche Datenverkehrsmuster, hohe Fehlerraten und Anomalien des Ressourcenverbrauchs. Verwenden Sie Aktionsgruppen, um eine automatisierte Reaktion auf potenzielle Sicherheitsvorfälle zu ermöglichen. Weitere Informationen finden Sie unter Azure Monitor-Warnungen.

  • Aktivieren Des Protokollstreamings für die Echtzeitüberwachung: Verwenden Sie Protokollstreamingfunktionen, um nahezu Echtzeit-System- und Konsolenprotokolle aus Containern anzuzeigen, um sofortige Problembehandlung und Sicherheitsereigniserkennung zu ermöglichen. Diese Fähigkeit ermöglicht eine schnelle Reaktion bei Sicherheitsvorfällen. Weitere Informationen finden Sie unter Log-Streaming.

  • Implementieren der Integration von Application Insights: Konfigurieren Sie die Integration von Application Insights, um detaillierte Telemetrie, Leistungsmetriken und benutzerdefinierte Traces aus Ihren Containeranwendungen zu erfassen. Diese Integration bietet umfassende Beobachtbarkeit zur Sicherheitsanalyse und Leistungsoptimierung. Weitere Informationen finden Sie unter Übersicht über Application Insights.

Compliance und Governance

Compliance- und Governance-Kontrollen stellen sicher, dass Container-Apps-Bereitstellungen gesetzliche Anforderungen und Organisationsrichtlinien erfüllen, indem die entsprechenden Konfigurationsverwaltungs- und Überwachungsfunktionen verwendet werden.

  • Wenden Sie Azure-Richtliniendefinitionen an: Verwenden Sie integrierte Azure-Richtliniendefinitionen, um Sicherheitskonfigurationen wie die Bereitstellung virtueller Netzwerke, Authentifizierungsanforderungen und HTTPS-Erzwingung zu überwachen und zu erzwingen. Richtlinien tragen dazu bei, den einheitlichen Sicherheitsstatus in allen Umgebungen aufrechtzuerhalten. Weitere Informationen finden Sie in den integrierten Azure-Richtliniendefinitionen für Azure-Container-Apps.

  • Implementieren von Ressourcentags: Wenden Sie konsistente Ressourcentags auf Container-Apps-Ressourcen für Kostenverwaltung, Sicherheitsüberwachung, Compliancenachverfolgung und Governance an. Verwenden Sie Tags, um Datenklassifizierung, Besitzerinformationen und behördliche Anforderungen zu identifizieren. Weitere Informationen finden Sie unter Verwenden von Tags zum Organisieren Ihrer Azure-Ressourcen.

  • Konfigurieren Sie Conditional Access Policies: Wenden Sie Microsoft Entra Conditional Access-Richtlinien an, die Multi-Faktor-Authentifizierung und konforme Geräte für Identitäten erfordern, die Container Apps und deren Umgebungen verwalten, sowie für Endbenutzerzugriffe, der durch die integrierte Authentifizierungsfunktion geschützt ist. Weitere Informationen finden Sie unter Require MFA for Azure Management.

  • Verwalten Sie Überwachungspfade und Compliancedokumentation: Stellen Sie sicher, dass die umfassende Protokollierung alle administrativen Aktionen der Container-App, Konfigurationsänderungen und Zugriffsversuche für behördliche Compliance- und Sicherheitsuntersuchungen mithilfe von Diagnoseeinstellungen und Aktivitätsprotokollen erfasst. Weitere Informationen finden Sie unter Azure-Aktivitätsprotokoll.

Sicherung und Wiederherstellung

Backup- und Wiederherstellungsstrategien schützen Container-App-Konfigurationen und gewährleisten die Geschäftskontinuität durch eine ordnungsgemäße Katastrophenwiederherstellungsplanung und Multiregion-Deployment-Strategien.

  • Aktivieren Sie Zonenredundanz für hohe Verfügbarkeit: Konfigurieren Sie Zonenredundanz in Container-Apps-Umgebungen, um Replikate automatisch über mehrere Verfügbarkeitszonen innerhalb einer Region zu verteilen. Diese Konfiguration schützt vor Fehlern auf Zonenebene und verbessert die Anwendungsverfügbarkeit. Weitere Informationen finden Sie unter Zuverlässigkeit in Azure-Container-Apps.

  • Implementierung von Multiregion-Deployments: Bereitstellen Sie Container-Apps über mehrere Azure-Regionen hinweg bereit, indem Sie Azure Front Door oder Azure Traffic Manager verwenden, um bei regionalen Ausfällen automatische Failover-Funktionen zu ermöglichen. Diese Strategie stellt die kontinuierliche Anwendungsverfügbarkeit für kritische Workloads sicher. Weitere Informationen finden Sie unter Ausfallsicherheit für regionsweite Fehler.

  • Verwenden Sie die Infrastruktur als Code für die Bereitstellungsautomatisierung: Implementieren Sie automatisierte Bereitstellungsprozesse mithilfe von Azure Resource Manager-Vorlagen, Bicep oder einer anderen Infrastruktur als Codetools, um sicherzustellen, dass Sie Container-App-Konfigurationen nach Vorfällen oder in alternativen Regionen schnell erneut bereitstellen können. Weitere Informationen finden Sie unter Azure Resource Manager und Bicep API-Spezifikation für Azure Container Apps.

  • Konfigurieren der georedundanten Containerregistrierung: Verwenden Sie azure Container Registry mit aktivierter Georeplikation, um sicherzustellen, dass Containerimages in mehreren Regionen für Notfallwiederherstellungsszenarien verfügbar sind. Diese Konfiguration schützt vor Registerausfällen und unterstützt Multiregion-Deployments. Weitere Informationen finden Sie unter Georeplikation in Azure Container Registry.

  • Testen Sie Notfallwiederherstellungsverfahren: Testen Sie regelmäßig Sicherungs- und Wiederherstellungsverfahren, einschließlich Anwendungsbereitstellung, Konfigurationswiederherstellung und Failoverprozesse, um die Effektivität zu überprüfen und Lücken bei der Notfallwiederherstellungsplanung zu identifizieren. Dokumentieren Sie Testergebnisse und aktualisieren Sie Verfahren basierend auf den gelernten Erkenntnissen. Weitere Informationen finden Sie unter Benutzerdefinierte Multiregion-Lösungen zur Resilienz.

Nächste Schritte

  • Zuletzt aktualisiert um