Question

如何创建Azure策略以审核应用程序服务身份验证？我想强制所有应用程序服务都启用Active Directory身份验证，并将其他身份验证方法标记为不兼容。

Answer 1

今天这不可能。您可以审核您的应用服务，以检查是否已启用身份验证。但是您不能指定特定的身份提供者作为策略的一部分。

{
    "if": {
        "allOf": [
            {
                "field": "type",
                "equals": "Microsoft.Web/sites/config"
            },
            {
                "field": "Microsoft.Web/sites/config/siteAuthEnabled",
                "equals": "false"
            }
        ]
    },
    "then": {
        "effect": "audit"
    }
}

要确保Azure AD是身份提供者的策略，您将需要类似这样的东西（今天将不起作用）。由于没有别名来支持字段Microsoft.Web/sites/config/siteAuthSettings.issuer，因此它将无法正常工作。

{
    "if": {
        "allOf": [
            {
                "field": "type",
                "equals": "Microsoft.Web/sites/config"
            },
            {
                "field": "Microsoft.Web/sites/config/siteAuthEnabled",
                "equals": "false"
            },
            {
                "field": "Microsoft.Web/sites/config/siteAuthSettings.issuer",
                "like": "https://sts.windows.net/*"
            }
        ]
    },
    "then": {
        "effect": "audit"
    }
}

指南是提交一个问题here来请求添加别名，看来您已经这样做了。将其发布here，以防其他人关注。

Azure策略审核应用程序服务身份验证

1 个答案: