Proteger o Funções do Azure com o Hubs de Eventos do Azure

Quando configurar o acesso a recursos no Azure, aplique um controlo detalhado sobre as permissões dos recursos. Baseie o acesso a estes recursos em princípios de segurança de necessidade de saber e de menor privilégio para garantir que os clientes só podem realizar o conjunto limitado de ações que lhes é concedido.

Autorização do acesso a Centros de Eventos

Pode autorizar o acesso aos recursos do Hubs de Eventos do Azure utilizando os seguintes construtos de segurança:

  • ID do Microsoft Entra: O Microsoft Entra ID fornece o controle de acesso baseado em função do Azure (Azure RBAC) para controle granular sobre o acesso de um cliente aos recursos dos Hubs de Eventos. Com base nos papéis e permissões concedidos, o Microsoft Entra ID autoriza pedidos utilizando um token de acesso OAuth 2.0.

  • Assinatura de acesso partilhada: Pode usar uma assinatura de acesso partilhada para proteger os recursos do Event Hubs com base nas regras de autorização. Você define políticas de autorização selecionando uma ou mais regras de política, como a capacidade de enviar mensagens, ouvir mensagens e gerenciar as entidades no namespace.

Considerações para a utilização de uma assinatura de acesso partilhada

Tenha em conta as seguintes considerações ao utilizar uma assinatura de acesso partilhada com o Funções do Azure e o Event Hubs:

  • Evite a permissão Gerir: Para além de permitir gerir as entidades num espaço de nomes do Event Hubs, a permissão Gerir também concede as permissões Enviar e Escutar. Idealmente, uma aplicação de funções deveria receber apenas uma combinação dos direitos de Enviar e Ouvir, dependendo das ações que realiza.

  • Não uses a regra padrão de Gerir: Evite usar a regra de política padrão chamada RootManageSharedAccessKey, a menos que seja necessária pela sua aplicação de funções, o que deve ser um cenário pouco comum. Outra ressalva a essa regra padrão é que ela é criada no nível do namespace e concede permissões a todos os hubs de eventos subjacentes.

  • Analise os escopos das políticas de acesso partilhado: As políticas de acesso partilhado podem ser criadas ao nível do namespace e ao nível do hub de eventos. Considere criar políticas de acesso granulares adaptadas a cada cliente para limitar o alcance e as permissões dos clientes.

Identidade gerida

Uma identidade pode ser atribuída a um recurso gerido no Azure, como uma aplicação de funções ou aplicação web. Depois de atribuir uma identidade, pode interagir com outros recursos que usam o Microsoft Entra ID para autorização, muito semelhante a um principal de serviço.

Os aplicativos de função podem receber uma identidade gerenciada e aproveitar as conexões baseadas em identidade para um subconjunto de serviços, incluindo Hubs de Eventos. As ligações baseadas em identidade fornecem suporte tanto para as extensões de ligação de gatilho como de saída.

Rede

Por defeito, os namespaces dos Event Hubs podem ser acedidos a partir da internet, desde que o pedido forneça autenticação e autorização válidas. Para limitar o acesso da rede aos espaços de nomes dos Event Hubs, considere estas três opções:

Em todos os casos, é especificada pelo menos uma regra de firewall IP ou regra de rede virtual para o namespace. Caso contrário, se não for especificado nenhum endereço IP ou regra de rede virtual, o espaço de nomes pode ser acedido através da internet pública (através da chave de acesso).

Pode configurar o Funções do Azure para consumir eventos ou publicar eventos em hubs de eventos configurados com endpoints de serviço ou endpoints privados. A sua aplicação Function requer integração regional com rede virtual para ligar-se a um hub de eventos através de um ponto final de serviço ou de um ponto final privado.

Quando você integra o Functions com uma rede virtual e habilita vnetRouteAllEnabledo , todo o tráfego de saída do aplicativo de função é forçado através da rede virtual. Esta configuração é especialmente importante para cenários em que pretende proteger a sua aplicação de funções, garantindo que todo o tráfego, incluindo o tráfego para os serviços Azure, passa pela sua rede virtual para inspeção e controlo. Se você quiser bloquear totalmente seu aplicativo de função, também precisará restringir sua conta de armazenamento.

Para consumir eventos num ambiente de rede virtual, é necessário alojar a aplicação da função num plano Premium, num plano Dedicado (App Service) ou num Ambiente do Serviço de Aplicações.

Além disso, a execução num plano Funções do Azure Premium e o consumo de eventos de um Event Hub restrito a uma rede virtual requerem suporte para acionadores de rede virtual, também designado por monitorização do escalamento em tempo de execução. Pode configurar a monitorização de escala em tempo de execução usando o portal Azure, a CLI do Azure ou outras soluções de implementação. A monitorização de escala em tempo de execução não está disponível quando a função está a correr num plano dedicado (App Service) ou num Ambiente do Serviço de Aplicações.

Contribuidores

A Microsoft mantém este artigo. Os seguintes colaboradores escreveram este artigo.

Autor principal:

Para ver perfis não públicos do LinkedIn, faça login no LinkedIn.

Próximos passos

Antes de continuar, considere rever estes artigos relacionados:

Observabilidade

  • Last updated on