Konfigurieren der HTTP-Header-Einfügung in Azure Firewall

Verwenden Sie Azure Firewall HTTP-Header-Einfügung, um HTTP-Header für Webverkehr hinzuzufügen oder zu ändern. Durch die Anpassung von Headern können Organisationen Sicherheitsrichtlinien durchsetzen, Authentifizierungstoken einbetten und sich in Backend-Dienste integrieren. Diese Funktion verbessert die Sicherheit, unterstützt die Einhaltung der Vorschriften und optimiert das Verkehrsmanagement, insbesondere für Anwendungen, die spezifische Header für Zugriff oder Identifikation benötigen. Konfigurieren Sie das Einfügen von HTTP-Headern für jede Anwendungsregel. Wenn der Datenverkehr mit einer Anwendungsregel übereinstimmt, die du mit HTTP-Header-Einfügung konfigurierst, fügt die Azure Firewall die konfigurierten HTTP-Header ein.

Unterstützte Szenarien und Einschränkungen

Die HTTP-Header-Einfügungsfunktion ist für spezifische Anwendungsfälle konzipiert und hat bestimmte Einschränkungen.

Unterstützte Szenarios

In der Premium-SKU unterstützt diese Funktion HTTP-Verkehr und HTTPS-Verkehr, der durch TLS-Inspektion entschlüsselt wird.
In den Standard- und Basic-SKUs unterstützt diese Funktion HTTP-Verkehr.
Sie können diese Funktion auch mit Azure Firewall Policy Draft + Deployment konfigurieren.

Einschränkungen

Beachten Sie die folgenden Einschränkungen:

Du kannst bestimmte reservierte Header nicht als benutzerdefinierte HTTP-Header in Anwendungsregeln einfügen. Die folgende Tabelle listet die reservierten Headers auf, gruppiert nach Kategorien.
Das Einfügen von HTTP-Headern kann die Gesamtzahl der Regeln in einer Regelsammlungsgruppe reduzieren, daher sollten Sie die Einfügung von HTTP-Headern mit Bedacht nutzen. Wenn du das JSON-Limit einer Regelsammlungsgruppe erreichst, erstelle eine neue Regelsammlungsgruppe und füge dort Regeln hinzu.

Kategorie	Reservierte Header
Allgemein und Verbindung	`host`, `connection`, `content-length`, `transfer-encoding`, , `upgrade`, `via`, `te`, `trailer`
Authentifizierung und Cookies	`proxy-authorization`, `proxy-authenticate`, `authorization`, `cookie`, , `set-cookie`
Sicherheit	`content-security-policy`, `strict-transport-security`, `x-content-type-optionsx-frame-options`, `referrer-policy`, `x-xss-protection`, `public-key-pins`, `expect-ctx-xsrf-token`
Forwarding	`x-forwarded-for`, `x-forwarded-proto`, `x-forwarded-host`, `x-forwarded-port`, , `x-forwarded-scheme`, `forwarded`
Sonstiges	`metadata`

Konfigurationsschritte

Die folgenden Abschnitte bieten Schritt-für-Schritt-Anleitung für die Einfügung von HTTP-Headern.

Diese Schritte gehen davon aus, dass Sie bereits eine bestehende Azure Firewall Policy haben (fw-policyin den folgenden Beispielen). Wenn du keine hast, siehe Deploy und konfiguriere Azure Firewall Policy.

Note

Führen Sie dieselben Schritte für HTTPS-Verkehr durch, der TLS-Inspektion aktiviert hat. Header-Namen können bis zu 100 Zeichen haben. Headerwerte können bis zu 16.000 (16.000) Zeichen haben. Die maximale maximale Gesamtlänge der HTTP-Header (Summe aller HTTP-Header-Namen und des HTTP-Header-Werts) in jeder Anwendungsregel beträgt 16 KB (16.384 Bytes).

Im Azure-Portal gehen Sie zu einer bestehenden Firewall-Richtlinie oder erstellen Sie eine neue.
Wähle Regeln und dann Anwendungsregeln.
Erstellen Sie eine neue Anwendungsregel oder bearbeiten Sie eine bestehende.
Im Regelkonfigurationsfenster finden Sie den Abschnitt HTTP-Header-Einfügung .
Füge die erforderlichen Header hinzu, indem du den Namen und den Wert des Headers angibst. Du kannst bei Bedarf mehrere Header hinzufügen.
Speichern Sie die Regel.
Um zu überprüfen, ob die Header korrekt konfiguriert sind, öffne die Regel erneut und prüfe, dass der Abschnitt HTTP Header Insertion die von dir hinzugefügten Header-Namen und -werte zeigt.

Melden Sie sich in Ihrem Azure-Konto an, indem Sie den az login-Befehl ausführen.

Erstellen Sie eine Regelsammlungsgruppe, indem Sie az Network Firewall Policy rule-collection-group create verwenden.

az network firewall policy rule-collection-group create \
    --name rcg-c \
    --policy-name fw-policy \
    --resource-group test-rg \
    --priority 10000

Fügen Sie eine Regelsammlung hinzu, die eine Anwendungsregel mit einem benutzerdefinierten HTTP-Header enthält, indem Sie az network firewall policy rule-collection-group collection add-filter-collection verwenden.

az network firewall policy rule-collection-group collection add-filter-collection \
    --policy-name "fw-policy" \
    --resource-group "test-rg" \
    --rcg-name "rcg-c" \
    --name "app_collection_1" \
    --collection-priority 10003 \
    --action Allow \
    --rule-name "app_rule_1" \
    --rule-type ApplicationRule \
    --target-fqdns "*.microsoft.com" "*.azure.com" \
    --source-addresses "10.0.0.5" "10.0.0.6" \
    --protocols Http=80 \
    --description "Allow access to Microsoft and Azure domains with header insertion" \
    --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"

Überprüfen Sie, dass die Regel erstellt und die Header korrekt konfiguriert sind, indem Sie az Network Firewall Policy rule-collection-group show verwenden.
```
az network firewall policy rule-collection-group show \
    --policy-name fw-policy \
    --resource-group test-rg \
    --name rcg-c
```
Dieser Befehl gibt die vollständige Konfiguration der Regelsammlungsgruppe rcg-czurück. Suche in der Ausgabe nach deinem Regelnamen (zum Beispiel ) app_rule_1und überprüfe dessen Eigenschaften.

Erstellen Sie eine neue Anwendungsregel mit New-AzFirewallPolicyApplicationRule.

$rule = New-AzFirewallPolicyApplicationRule `
    -Name "app_rule_1" `
    -SourceAddress "10.0.0.5", "10.0.0.6" `
    -Protocol "Http:80" `
    -TargetFqdn "*.microsoft.com", "*.azure.com"

Erstellen Sie die benutzerdefinierten HTTP-Header mit New-AzFirewallPolicyApplicationRuleCustomHttpHeader und fügen Sie sie der Regel hinzu.

$header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
$header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"

$rule.AddCustomHttpHeaderToInsert($header1)
$rule.AddCustomHttpHeaderToInsert($header2)

Erstellen Sie eine Anwendungsregelsammlung, die die Regel enthält, indem Sie New-AzFirewallPolicyFilterRuleCollection verwenden.

$collection = New-AzFirewallPolicyFilterRuleCollection `
    -Name "app_collection_1" `
    -Priority 10003 `
    -Rule @($rule) `
    -ActionType "Allow"

Erstellen Sie eine Regelsammlungsgruppe, die die Regelsammlung enthält, indem Sie New-AzFirewallPolicyRuleCollectionGroup verwenden.

New-AzFirewallPolicyRuleCollectionGroup `
    -Name "rcg-c" `
    -FirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Priority 10000 `
    -RuleCollection $collection

Überprüfen Sie, dass die Regel erstellt und die Header korrekt konfiguriert sind, indem Sie Get-AzFirewallPolicyRuleCollectionGroup verwenden.
```
Get-AzFirewallPolicyRuleCollectionGroup `
    -AzureFirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Name "rcg-c"
```
Dieser Befehl gibt die vollständige Konfiguration der Regelsammlungsgruppe rcg-czurück. Suche in der Ausgabe nach deinem Regelnamen (zum Beispiel ) app_rule_1und überprüfe dessen Eigenschaften.

Nächste Schritte

Anwendungsregeln mit SQL-FQDNs

Feedback

War diese Seite hilfreich?

Last updated on 2026-07-22