Netwerkbeveiligingsperimeter voor Azure App Configuration (beperkte preview)

Azure netwerkbeveiligingsperimeter (NSP) kunt u een logische netwerkisolatiegrens definiëren voor PaaS-resources, zoals een App Configuration-archief, die buiten een virtueel netwerk worden geïmplementeerd. Standaard beperkt een netwerkbeveiligingsperimeter de toegang tot openbare netwerktoegang tot PaaS-resources binnen de perimeter. U kunt echter expliciete toegangsregels configureren voor inkomend en uitgaand verkeer.

Wanneer u een App Configuration-archief koppelt aan een netwerkbeveiligingsperimeter, kunt u inkomend en uitgaand verkeer beheren met toegangsregels, een gemeenschappelijke set regels delen over meerdere PaaS-resources met behulp van perimeterprofielen en netwerkverkeer bewaken via diagnostische logboeken. Zie Waarom een netwerkbeveiligingsperimeter gebruiken voor meer informatie?

Overstappen op een netwerkbeveiligingsperimeter

Een resourcekoppeling met een netwerkbeveiligingsperimeter ondersteunt twee toegangsmodi: Overgang en Afgedwongen. De overgangsmodus is bedoeld als een tijdelijke tussenstap waarmee u een netwerkbeveiligingsperimeter kunt invoeren zonder de bestaande connectiviteit te verstoren, door terug te vallen op de bestaande netwerktoegangsregels van de App Configuration-store wanneer geen perimeterregel van toepassing is. Zie Transition naar een netwerkbeveiligingsperimeter in Azure voor meer informatie over het gebruik van de overgangsmodus voor een soepele acceptatie van NSP. Zie Nieuwe resources verplaatsen naar de netwerkbeveiligingsperimeter voor een overzicht van hoe de toegangsmodus van een resourcerelatie zich verhoudt tot de instelling voor openbare netwerktoegang van de App Configuration-store.

Netwerkbeperkingen afdwingen met een netwerkbeveiligingsperimeter

Als u netwerkbeperkingen wilt afdwingen met een netwerkbeveiligingsperimeter, moet u ervoor zorgen dat de netwerkbeveiligingsresourcekoppeling zich in de modus Afgedwongen bevindt. In deze modus staat het App Configuration-archief alleen binnenkomende en uitgaande aanvragen toe die zijn toegestaan door het bijbehorende perimeterprofiel voor netwerkbeveiliging, ongeacht de instelling voor openbare netwerktoegang van het App Configuration-archief.

Overwegingen voor privé-eindpuntaanvragen

Binnenkomende aanvragen voor het App Configuration-archief via een geldig privé-eindpunt zijn altijd toegestaan door een netwerkbeveiligingsperimeter, ongeacht de koppelingsmodus of profielregels van de perimeter.

Overwegingen voor door de klant beheerde sleutelversleuteling

Als uw App Configuration-opslag gebruikmaakt van versleuteling met een door de klant beheerde sleutel, communiceert de App Configuration-service met een Azure Key Vault-resource om toegang te krijgen tot uw versleutelingssleutel. Wanneer de uitgaande aanvragen van de opslag onder NSP-regels vallen (de openbare netwerktoegang wordt beveiligd door de perimeter or de NSP-koppeling zich in de afgedwongen modus bevindt), moeten de toegangsregels van de perimeter uitgaande communicatie met de Azure Key Vault-resource toestaan. Om ervoor te zorgen dat de App Configuration-service toegang kan blijven krijgen tot de versleutelingssleutel, moet u uw netwerkbeveiligingsperimeter op een van de volgende manieren configureren:

  • Dezelfde perimeter: Plaats de Azure Key Vault in dezelfde netwerkbeveiligingsperimeter als uw App Configuration-opslag. Wanneer beide resources zich binnen dezelfde perimeter bevinden, wordt de communicatie tussen beide resources automatisch toegestaan.
  • FQDN-gebaseerde regel voor uitgaande toegang: Voeg een regel voor uitgaande toegang met een volledig gekwalificeerde domeinnaam (FQDN) toe aan het profiel van de netwerkbeveiligingsperimeter dat is gekoppeld aan uw App Configuration-store. De regel moet het eindpunt van de Key Vault met de door de klant beheerde sleutel vermelden (bijvoorbeeld mykeyvault.vault.azure.net).

Als aan geen van beide voorwaarden wordt voldaan, heeft de App Configuration-store geen toegang tot de coderingssleutel en mislukken aanvragen naar de App Configuration-store.

Overwegingen voor bewaking

Als uw App Configuration-store bewaking heeft ingeschakeld via diagnostische instellingen, moeten logbestemmingen (zoals Log Analytics-werkruimten, opslagaccounts en Event Hubs) zich binnen dezelfde netwerkbeveiligingsperimeter bevinden als de App Configuration-store. Uitgaande toegangsregels op basis van FQDN zijn niet van toepassing op bewakingsbestemmingen, dus elke bestemming buiten de perimeter ontvangt geen diagnostische gegevens.

Limitations

  • Azure App Configuration ondersteuning voor netwerkbeveiligingsperimeter bevindt zich momenteel in een beperkte preview-versie met toegang beperkt tot een set abonnementen.
  • Tijdens de privé-preview kunnen bewerkingen van het perimeterbeheervlak voor netwerkbeveiliging, zoals het koppelen van een App Configuration-archief aan een perimeter of het weergeven van de koppelingsconfiguratie, alleen worden uitgevoerd met BEHULP van ARM-sjablonen of de Azure CLI. Zie Azure App Configuration koppelen aan een netwerkbeveiligingsperimeter voor een zelfstudie over hoe u met behulp van de Azure CLI verbinding maakt met een App Configuration-archief.
  • Bepaalde netwerkbeveiligingsperimeterfuncties, zoals inkomende toegangsregels op basis van een abonnement, werken niet met verificatie van toegangssleutels. Gebruik Microsoft Entra ID verificatie voor volledige NSP-functionaliteit.
  • Op dit moment kan een App Configuration-archief in een netwerkbeveiligingsperimeter geen gebeurtenissen verzenden naar Azure Event Grid. Als voor een App Configuration-opslag een Azure App Configuration-eventabonnement is geconfigureerd, kunt u de opslag niet koppelen aan een netwerkbeveiligingsperimeter. Als een winkel is gekoppeld aan een netwerkbeveiligingsperimeter, kunt u ook geen gebeurtenisabonnement voor de store inschakelen.
  • Regels voor binnenkomende toegang op basis van abonnementen en IP-adressen zijn niet van toepassing op de oorspronkelijke aanroeper voor aanvragen van gegevensvlakken via deploymenthulpprogramma's zoals ARM-sjablonen, Bicep of Terraform. Omdat deze aanvragen worden doorgestuurd naar het App Configuration-archief door Azure Resource Manager, worden het abonnement en het IP-adres van de oorspronkelijke beller niet doorgegeven aan de perimeter voor evaluatie.

Troubleshooting

Fouten bij functietoegang

Azure CLI

(BadRequest) Deze functie is nog niet beschikbaar voor een bepaald abonnement. Code: BadRequest Message: Deze functie is nog niet beschikbaar voor een bepaald abonnement

Azure-portal

Kan resource niet koppelen. Deze functie is nog niet beschikbaar voor een bepaald abonnement.

Deze fouten geven aan dat het abonnement dat u gebruikt geen toegang heeft tot de functie voor netwerkbeveiligingsperimeter voor Azure App Configuration, die momenteel in de beperkte preview-versie is.

RP-registratiefouten

Als u een App Configuration-opslag associeert met een netwerkbeveiligingsperimeter in een ander abonnement dan de opslag, moet u ervoor zorgen dat in het abonnement van de netwerkbeveiligingsperimeter de resourceprovider Microsoft.AppConfiguration is geregistreerd. Als de resourceprovider niet is geregistreerd, wordt de volgende fout weergegeven bij het uitvoeren van de koppeling:

De bewerking kan niet worden voltooid omdat het abonnement< 'SubscriptionId>' van de netwerkbeveiligingsperimeter niet is geregistreerd voor het gebruik van de resourceprovider 'Microsoft.' AppConfiguration'. Zie https://aka.ms/appconfig/NSPTroubleshooting de instructies voor het registreren van een resourceprovider.

Voer de volgende stappen uit om deze fout op te lossen:

  1. Registreer de Microsoft.AppConfiguration resourceprovider in het abonnement van de netwerkbeveiligingsperimeter.
  2. Probeer de koppeling tussen het App Configuration-archief en de netwerkbeveiligingsperimeter opnieuw uit te proberen.

Zie Resourceprovider registreren voor meer informatie over het registreren van een abonnement bij een resourceprovider.

Fouten bij toegang tot door de klant beheerde sleutel

Als uw App Configuration-store gebruikmaakt van versleuteling met door de klant beheerde sleutels, kunt u mogelijk de volgende foutmelding krijgen wanneer u de store koppelt aan een netwerkbeveiligingsperimeter:

De aangevraagde Network Security Perimeter-koppeling kan niet worden toegepast omdat deze de toegang tot de door de klant beheerde sleutel van het configuratiearchief zou blokkeren. Zie https://aka.ms/appconfig/NSPTroubleshooting voor hulp bij het configureren van een NSP voor configuratiearchieven die gebruikmaken van een door de klant beheerde sleutel.

Deze fout treedt op wanneer de configuratie van de netwerkbeveiligingsperimeter verhindert dat het App Configuration-archief de Azure Key Vault bereikt die de door de klant beheerde sleutel bevat. Als u deze fout wilt oplossen, configureert u de netwerkbeveiligingsperimeter om toegang tot de Key Vault toe te staan, zoals beschreven in Gebeurtenis voor door de klant beheerde sleutelversleuteling en probeert u de koppeling vervolgens opnieuw.

Verwante inhoud

  • Last updated on