什麼是網路安全邊界？

Azure 網路安全邊界會在你部署於虛擬網路外部的平台即服務（PaaS）資源周圍建立邏輯性的網路邊界。 透過建立安全的邊界，網路安全邊界幫助你控制公共網路對資源的存取，例如 Azure 儲存體 帳戶和 Azure Key Vault。

根據預設，網路安全性周邊會限制對界限內 PaaS 資源的公用存取。 您可以透過輸入和輸出流量的明確存取規則來授與例外狀況。 這種方法有助於防止數據外流，同時維護應用程式所需的連線能力。

關於涉及虛擬網路到 PaaS 資源流量的存取模式，請參見「什麼是 Azure Private Link？」

網路安全邊界的功能包括：

• 在周界成員內的資源對資源存取通訊，可防止資料外洩至未授權的目的地。
• 外部公用存取管理，其中包含與周邊相關聯之 PaaS 資源的明確規則。
• 存取稽核與合規性的記錄。
• 跨 PaaS 資源的整合體驗。

網路安全邊界的元件

網路安全性邊界包含下列元件：

網路安全性周邊屬性

建立網路安全周邊時，您可以指定下列屬性：

網路安全界限的存取模式

系統管理員藉由建立資源關聯，將 PaaS 資源新增至周邊。 這些關聯可以在兩種存取模式中建立。 存取模式如下：

在轉換至網路安全界限文章中深入了解如何從轉換模式 (先前的學習模式) 轉換到強制模式。

為什麼要使用網路安全防護？

網路安全邊界提供安全的邊界，以供部署於虛擬網路外的 PaaS 服務進行通訊。 它允許你控制對 Azure PaaS 資源的網路存取。 一些常見的使用案例包括：

• 建立 PaaS 資源周圍的安全界限。
• 防止數據外流，方法是將 PaaS 資源關聯至周邊。
• 啟用存取規則以授與安全周邊外部的存取權。
• 在單一窗格內管理網路安全性周邊內所有 PaaS 資源的存取規則。
• 啟用診斷設定，以在周邊內產生 PaaS 資源的存取記錄，以便稽核和符合法規。
• 允許私人端點流量，而不需要明確的存取規則。

網路安全邊界如何運作？

建立網路安全周邊且 PaaS 資源會以強制模式與周邊相關聯時，預設會拒絕所有公用流量，因而防止周邊外部的數據外流。

存取規則可用來核准周邊外部的公用輸入和輸出流量。 您可以使用用戶端的網路和身分識別屬性來核准公用輸入存取，例如來源IP位址、訂用帳戶。 您可使用外部目的地的 FQDN (完整網域名稱) 來核准公用輸出存取。

在 標準服務端點中，網路安全邊界也能透過網路 識別碼 ——與服務端點子網相關的公共 IP 位址或前綴——授權入站流量。 此方法提供可擴展、基於身份的 IaaS 對 PaaS 連接，且不需個別基於 IP 的存取規則。

例如，建立網路安全邊界時，在強制模式下將一組 PaaS 資源（如 Azure Key Vault 和 Azure 儲存體）與該邊界關聯，預設會拒絕所有進出這些 PaaS 資源的公共流量。 若要允許周邊以外的任何存取，可以建立必要的存取規則。 在同一個邊界之內，您可以建立剖面，以分組 PaaS 資源，滿足類似的進出存取需求。

已上線的私人連結資源

網路安全界限感知的私人連結資源是可以與網路安全界限相關聯的 PaaS 資源。 目前上線的私人連結資源清單如下所示：

哪些區域提供網路安全周邊？

網路安全邊界目前可在所有 Azure 公有雲區域及 Azure Government 區域（美國維吉尼亞州、美國德州政府、美國亞利桑那州政府、美國國防部東部及美國國防部中央）提供。

支援的存取規則類型

網路安全界限支援下列存取規則類型：

網路安全界限的限制

記錄限制

在啟用網路安全邊界的存取日誌時，Log Analytics 工作區若要與網路安全邊界關聯，必須位於 Azure 監視器 支援的區域之一。

Microsoft Sentinel 限制

以下是已知的限制：

• Microsoft Sentinel 啟用的 Log Analytics 工作空間不支援網路安全邊界。 若工作區啟用網路安全邊界，分析規則會自動停用。 欲了解更多資訊，請參閱部署 Microsoft Sentinel<>c0>前置條件
• Azure 備份 不支援啟用了網路安全邊界的儲存帳號。 如果你啟用了備份，或打算使用 Azure 備份，我們建議不要將儲存帳號與網路安全邊界綁定。
• 不支援透過 Advanced Hunting 的私有連結查詢工作空間。

調整限制

網路安全界限功能可用來支援使用一般公用網路控制項部署 PaaS 資源，但有下列規模限制：

其他限制

網路安全邊界有其他限制，如下所示：

後續步驟