Удаление или защита веб-перехватчика из веб-задания Azure в общедоступном Интернете

Всякий раз, когда создается веб-задание Azure, вместе с ним создается веб-перехватчик, который, если он используется, может использоваться для запуска этого веб-задания. Рассматриваемая веб-задача запускается по таймеру и не требует веб-перехватчика. Можно ли отключить этот веб-хук?

Проблема: если этот URL-адрес доступен в общедоступной сети, кто-то попытается вызвать этот или, что еще хуже, метод грубой силы для запуска веб-задания.


azure security azure-webjobs network-security
person Community    schedule 23.07.2020    source источник

Ответы (2)


arrow_upward
0
arrow_downward

Мы также можем защитить API веб-перехватчиков с помощью аутентификации Azure AD. Чтобы включить аутентификацию Azure AD для API веб-перехватчика, нам необходимо выполнить следующие шаги:

1. Перейдите к службе приложений Azure и нажмите Authentication / Authorization, чтобы включить ее.

введите описание изображения здесь

2. В поставщике Azure Active Directory выберите Advanced и поместите webhook API как Issuer Url.

введите описание изображения здесь

3. Перейдите в службу приложения Access Control, выберите Contributor роль для субъекта-службы, который вы создали ранее.

Для получения дополнительных сведений о безопасном API веб-перехватчика вы можете обратиться к этому статья.

person Joey Cai    schedule 24.07.2020
comment
Я не думаю, что это решение по нескольким причинам. 1. Предполагается, что вы используете один из указанных IDP (пользовательский поставщик OIDC находится в предварительном просмотре) 2. Это устанавливает его для всего вашего веб-приложения. Возможно, вы этого не захотите. 3. Это обеспечивает контекст аутентификации для доступа к URL-адресу (помните, что с URL-адресами веб-перехватчиков уже связаны учетные данные). - Необходим механизм, чтобы никто не мог получить доступ к этим URL-адресам извне PERIOD. - person ; 24.07.2020

arrow_upward
0
arrow_downward

Мы нашли несколько способов сделать это

  1. Добавьте ограничения доступа прямо на ресурс. Это указано здесь.
  2. Добавьте ресурс в виртуальную сеть (требуется премиум-план) и примените там ограничения.

Примечание. Чтобы добавить правило «Запретить все», необходимо создать хотя бы одно настраиваемое правило, и Azure автоматически добавит правило «Запретить все» (подробности см. По ссылке выше).

person Community    schedule 24.07.2020