Konfigurowanie wstawiania nagłówków HTTP w usłudze Azure Firewall

Użyj wstawiania nagłówków HTTP w Azure Firewall, aby dodać lub zmodyfikować nagłówki HTTP dla ruchu webowego. Dostosowując nagłówki, organizacje mogą egzekwować polityki bezpieczeństwa, osadzać tokeny uwierzytelniania i integrować się z usługami backendowymi. Ta funkcja poprawia bezpieczeństwo, pomaga w zgodności i optymalizuje zarządzanie ruchem, zwłaszcza w aplikacjach wymagających konkretnych nagłówków do dostępu lub identyfikacji. Skonfiguruj wstawianie nagłówka HTTP dla każdej reguły aplikacji. Gdy ruch odpowiada regułie aplikacji, którą konfigurujesz za pomocą wstawiania nagłówka HTTP, Azure Firewall wstawia skonfigurowane nagłówki HTTP.

Obsługiwane scenariusze i ograniczenia

Funkcja wstawiania nagłówków HTTP została zaprojektowana do konkretnych zastosowań i ma określone ograniczenia.

Obsługiwane scenariusze

W wersji Premium ta funkcja obsługuje ruch HTTP oraz HTTPS, który jest odszyfrowany za pomocą inspekcji TLS.
W standardowych i podstawowych SKU ta funkcja obsługuje ruch HTTP.
Możesz także skonfigurować tę funkcję, korzystając z Azure Firewall Policy Draft + Deployment.

Limitations

Należy pamiętać o następujących ograniczeniach:

Nie można wstawiać niektórych zarezerwowanych nagłówków jako niestandardowych nagłówków HTTP w regułach aplikacji. Poniższa tabela przedstawia zarezerwowane nagłówki, pogrupowane według kategorii.
Wstawianie nagłówków HTTP może zmniejszyć całkowitą liczbę reguł w grupie kolekcji reguł, dlatego należy stosować wstawianie nagłówków HTTP z rozwagą. Jeśli osiągniesz limit JSON w grupie kolekcji reguł, stwórz nową grupę i dodaj tam reguły.

Category	Nagłówki zarezerwowane
Ogólne i powiązania	`host`, `connection`, `content-length`, `transfer-encoding`, , `upgrade`, `via`, `tetrailer`
Uwierzytelnianie i pliki cookie	`proxy-authorization`, `proxy-authenticate`, , `authorization`, `cookieset-cookie`
Zabezpieczenia	`content-security-policy`, `strict-transport-security`, , `x-content-type-options`, `x-frame-optionsreferrer-policy`, `x-xss-protection`, , `public-key-pinsexpect-ctx-xsrf-token`
Forwarding	`x-forwarded-for`, `x-forwarded-proto`, , , `x-forwarded-port`, `x-forwarded-schemex-forwarded-hostforwarded`
Other	`metadata`

Kroki konfiguracji

Poniższe sekcje zawierają krok po kroku wskazówki dotyczące wstawiania nagłówków HTTP.

Te kroki zakładają, że masz już istniejącą politykę Azure Firewall (fw-policyw poniższych przykładach). Jeśli jej nie masz, zobacz Wdrażaj i konfiguruj Azure Firewall Policy.

Note

Wykonaj te same kroki dla ruchu HTTPS, który ma włączoną inspekcję TLS. Nazwy nagłówków mogą mieć do 100 znaków. Wartości nagłówków mogą mieć do 16K (16 000) znaków. Całkowita maksymalna długość nagłówków HTTP (suma wszystkich nazw nagłówka HTTP i wartości nagłówka HTTP) dozwolona w każdej Regułzie Aplikacji wynosi 16KB (16 384 bajty).

W portalu Azure przejdź do istniejącej polityki zapory lub utwórz nową.
Wybierz Reguły, a następnie reguły aplikacji.
Stwórz nową regułę aplikacji lub edytuj istniejącą.
W okienku konfiguracji reguły znajdź sekcję Wstawianie nagłówka HTTP.
Dodaj wymagane nagłówki, określając nazwę i wartość nagłówka. Możesz dodać wiele nagłówków w razie potrzeby.
Zapisz regułę.
Aby sprawdzić, czy nagłówki są poprawnie skonfigurowane, otwórz ponownie regułę i popewnij, że sekcja HTTP Header Insertion pokazuje nazwy i wartości nagłówków, które dodałeś.

Zaloguj się na swoje konto Azure, uruchamiając polecenie login AZ.

Utwórz grupę kolekcji reguł za pomocą polecenia az network firewall policy rule-collection-group create.

az network firewall policy rule-collection-group create \
    --name rcg-c \
    --policy-name fw-policy \
    --resource-group test-rg \
    --priority 10000

Dodaj kolekcję reguł zawierającą regułę aplikacji z niestandardowym nagłówkiem HTTP za pomocą polecenia az network firewall policy rule-collection-group collection add-filter-collection.

az network firewall policy rule-collection-group collection add-filter-collection \
    --policy-name "fw-policy" \
    --resource-group "test-rg" \
    --rcg-name "rcg-c" \
    --name "app_collection_1" \
    --collection-priority 10003 \
    --action Allow \
    --rule-name "app_rule_1" \
    --rule-type ApplicationRule \
    --target-fqdns "*.microsoft.com" "*.azure.com" \
    --source-addresses "10.0.0.5" "10.0.0.6" \
    --protocols Http=80 \
    --description "Allow access to Microsoft and Azure domains with header insertion" \
    --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"

Sprawdź, czy reguła została utworzona i czy nagłówki są poprawnie skonfigurowane, za pomocą polecenia az network firewall policy rule-collection-group show.
```
az network firewall policy rule-collection-group show \
    --policy-name fw-policy \
    --resource-group test-rg \
    --name rcg-c
```
To polecenie zwraca pełną konfigurację grupy rcg-czbioru reguł . Wyszukaj w wyniku nazwę reguły (na przykład app_rule_1) i zweryfikuj jej właściwości.

Stwórz nową regułę aplikacji, używając New-AzFirewallPolicyApplicationRule.

$rule = New-AzFirewallPolicyApplicationRule `
    -Name "app_rule_1" `
    -SourceAddress "10.0.0.5", "10.0.0.6" `
    -Protocol "Http:80" `
    -TargetFqdn "*.microsoft.com", "*.azure.com"

Utwórz niestandardowe nagłówki HTTP za pomocą New-AzFirewallPolicyApplicationRuleCustomHttpHeader i dodaj je do reguły.

$header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
$header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"

$rule.AddCustomHttpHeaderToInsert($header1)
$rule.AddCustomHttpHeaderToInsert($header2)

Stwórz kolekcję reguł aplikacji zawierającą tę regułę, używając New-AzFirewallPolicyFilterRuleCollection.

$collection = New-AzFirewallPolicyFilterRuleCollection `
    -Name "app_collection_1" `
    -Priority 10003 `
    -Rule @($rule) `
    -ActionType "Allow"

Stwórz grupę kolekcji reguł zawierającą tę kolekcję, używając New-AzFirewallPolicyRuleCollectionGroup.

New-AzFirewallPolicyRuleCollectionGroup `
    -Name "rcg-c" `
    -FirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Priority 10000 `
    -RuleCollection $collection

Sprawdź, czy reguła została utworzona, a nagłówki poprawnie skonfigurowane, używając Get-AzFirewallPolicyRuleCollectionGroup.
```
Get-AzFirewallPolicyRuleCollectionGroup `
    -AzureFirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Name "rcg-c"
```
To polecenie zwraca pełną konfigurację grupy rcg-czbioru reguł . Wyszukaj w wyniku nazwę reguły (na przykład app_rule_1) i zweryfikuj jej właściwości.

Następne kroki

Reguły aplikacji z SQL FQDN

Opinia

Czy ta strona była pomocna?

Last updated on 2026-07-22