Configurar inserção de cabeçalhos HTTP no Azure Firewall

Use a inserção de cabeçalhos HTTP do Azure Firewall para adicionar ou modificar cabeçalhos HTTP para tráfego web. Ao personalizar cabeçalhos, as organizações podem aplicar políticas de segurança, incorporar tokens de autenticação e integrar-se com serviços de backend. Esta funcionalidade melhora a segurança, ajuda na conformidade e otimiza a gestão do tráfego, especialmente para aplicações que requerem cabeçalhos específicos para acesso ou identificação. Configure a inserção de cabeçalhos HTTP para cada regra da aplicação. Quando o tráfego corresponde a uma regra de aplicação que configura com inserção de cabeçalhos HTTP, o Azure Firewall insere os cabeçalhos HTTP configurados.

Cenários e limitações suportados

A funcionalidade de inserção de cabeçalhos HTTP foi concebida para casos de uso específicos e tem certas restrições.

Cenários suportados

No SKU Premium, esta funcionalidade suporta tráfego HTTP e tráfego HTTPS que é desencriptado através da inspeção TLS.
Nos SKUs Standard e Basic, esta funcionalidade suporta tráfego HTTP.
Também pode configurar esta funcionalidade usando o Azure Firewall Policy Draft + Deployment.

Limitations

Tenha em mente as seguintes limitações:

Não podes inserir certos cabeçalhos reservados como cabeçalhos HTTP personalizados nas regras da aplicação. A tabela seguinte lista os cabeçalhos reservados, agrupados por categoria.
Inserir cabeçalhos HTTP pode reduzir o número total de regras num grupo de colecção de regras, por isso use a inserção de cabeçalhos HTTP de forma ponderada. Se atingires o limite JSON num grupo de recolha de regras, cria um novo grupo de recolha de regras e adiciona regras aí.

Categoria	Cabeçalhos reservados
Geral e ligação	`host`, `connection`, `content-lengthtransfer-encoding`, , `upgrade`, `via`, `te`,`trailer`
Autenticação e cookies	`proxy-authorization`, `proxy-authenticate`, `authorization`, `cookie`, `set-cookie`
Segurança	`content-security-policy`, `strict-transport-security`, `x-content-type-options`, `x-frame-options`, `referrer-policyx-xss-protection`, `public-key-pins`, `expect-ct`, `x-xsrf-token`
Forwarding	`x-forwarded-for`, `x-forwarded-proto`, `x-forwarded-host`, `x-forwarded-port`, `x-forwarded-scheme`, `forwarded`
Other	`metadata`

Passos de configuração

As secções seguintes fornecem orientações passo a passo para a inserção de cabeçalhos HTTP.

Estes passos assumem que já tem uma Política Azure Firewall existente (fw-policynos exemplos seguintes). Se não tiveres nenhuma, vê Implementar e configurar Azure Firewall Policy.

Note

Execute os mesmos passos para tráfego HTTPS que tenha a inspeção TLS ativada. Os nomes dos cabeçalhos podem ter até 100 caracteres. Os valores de cabeçalho podem ter até 16K (16.000) caracteres. O comprimento máximo total dos cabeçalhos HTTP (soma de todo o Nome do Cabeçalho HTTP e do Valor do Cabeçalho HTTP) permitido em cada Regra de Aplicação é de 16KB (16.384 bytes).

No portal do Azure, aceda a uma política de firewall existente ou crie uma nova.
Selecione Regras e depois selecione Regras de Aplicação.
Crie uma nova regra de aplicação ou edite uma já existente.
No painel de configuração de regras, localize a secção Inserção de Cabeçalho HTTP.
Adicione os cabeçalhos necessários especificando o nome e o valor do cabeçalho. Pode adicionar vários cabeçalhos conforme necessário.
Guarde a regra.
Para verificar se os cabeçalhos estão configurados corretamente, reabra a regra e confirme que a secção de Inserção de Cabeçalhos HTTP mostra os nomes e valores dos cabeçalhos que adicionou.

Inicie sessão na sua conta Azure executando o comando az login.

Crie um grupo de coleções de regras utilizando az network firewall policy rule-collection-group create.

az network firewall policy rule-collection-group create \
    --name rcg-c \
    --policy-name fw-policy \
    --resource-group test-rg \
    --priority 10000

Adicione uma coleção de regras que contenha uma regra de aplicação com um cabeçalho HTTP personalizado, utilizando az network firewall policy rule-collection-group collection add-filter-collection.

az network firewall policy rule-collection-group collection add-filter-collection \
    --policy-name "fw-policy" \
    --resource-group "test-rg" \
    --rcg-name "rcg-c" \
    --name "app_collection_1" \
    --collection-priority 10003 \
    --action Allow \
    --rule-name "app_rule_1" \
    --rule-type ApplicationRule \
    --target-fqdns "*.microsoft.com" "*.azure.com" \
    --source-addresses "10.0.0.5" "10.0.0.6" \
    --protocols Http=80 \
    --description "Allow access to Microsoft and Azure domains with header insertion" \
    --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"

Verifique se a regra foi criada e se os cabeçalhos estão configurados corretamente, utilizando az network firewall policy rule-collection-group show.
```
az network firewall policy rule-collection-group show \
    --policy-name fw-policy \
    --resource-group test-rg \
    --name rcg-c
```
Este comando devolve a configuração completa do grupo rcg-cde colecção de regras . Pesquise na saída o nome da sua regra (por exemplo, app_rule_1) e verifique as suas propriedades.

Crie uma nova regra de aplicação usando New-AzFirewallPolicyApplicationRule.

$rule = New-AzFirewallPolicyApplicationRule `
    -Name "app_rule_1" `
    -SourceAddress "10.0.0.5", "10.0.0.6" `
    -Protocol "Http:80" `
    -TargetFqdn "*.microsoft.com", "*.azure.com"

Crie os cabeçalhos HTTP personalizados usando New-AzFirewallPolicyApplicationRuleCustomHttpHeader e adicione-os à regra.

$header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
$header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"

$rule.AddCustomHttpHeaderToInsert($header1)
$rule.AddCustomHttpHeaderToInsert($header2)

Crie uma coleção de regras de aplicação que contenha a regra usando New-AzFirewallPolicyFilterRuleCollection.

$collection = New-AzFirewallPolicyFilterRuleCollection `
    -Name "app_collection_1" `
    -Priority 10003 `
    -Rule @($rule) `
    -ActionType "Allow"

Crie um grupo de recolha de regras que contenha a coleção de regras usando New-AzFirewallPolicyRuleCollectionGroup.

New-AzFirewallPolicyRuleCollectionGroup `
    -Name "rcg-c" `
    -FirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Priority 10000 `
    -RuleCollection $collection

Verifique se a regra foi criada e que os cabeçalhos estão corretamente configurados usando o Get-AzFirewallPolicyRuleCollectionGroup.
```
Get-AzFirewallPolicyRuleCollectionGroup `
    -AzureFirewallPolicyName "fw-policy" `
    -ResourceGroupName "test-rg" `
    -Name "rcg-c"
```
Este comando devolve a configuração completa do grupo rcg-cde colecção de regras . Pesquise na saída o nome da sua regra (por exemplo, app_rule_1) e verifique as suas propriedades.

Passos seguintes

Regras de aplicação com FQDNs SQL

Comentários

Esta página foi útil?

Last updated on 2026-07-22