限制对 Web 应用程序的访问

Question

我创建了两个 Azure Web APP（正面和背面）。

我可以从公众访问前端 Web 应用程序，但我也可以从公众访问后端 Web 应用程序。

我想限制对后端应用程序的访问，并允许某些 Azure 服务（例如 Azure DevOps）

实现 Azure Front Door、App Gateway、WAF 的最佳且成本最低的技术是什么？

谢谢，问候昆汀

Answer 1

您可以利用私有端点。

您的 Azure Web 应用程序的专用终结点，以允许位于您的专用网络中的客户端通过专用链接安全地访问该应用程序。在这种情况下，私有终结点使用来自 Azure VNet 地址空间的 IP 地址。专用网络上的客户端与 Web 应用之间的网络流量通过 VNet 和 Microsoft 主干网络上的专用链接，从而消除公共 Internet 的暴露。

此功能的主要用途：

• 通过配置私有端点来保护您的 Web 应用程序，消除 公开曝光。
• 从本地安全连接到 Web App 使用 VPN 或 ExpressRoute 私有连接到 VNet 的网络 对等。

对于 DevOps 访问： 必须在 Azure DNS 专用区域或自定义 DNS 服务器中创建两条记录。

名称类型值

mywebapp.privatelink.azurewebsites.net A PrivateEndpointIP

mywebapp.scm.privatelink.azurewebsites.net A PrivateEndpointIP

请参阅此文档（private endpoints for Azure WebApp) 了解更多信息。

Answer 2

应用服务访问限制是您的朋友 :) 基于 IP 和/或基于服务端点 https://docs.microsoft.com/en-us/azure/app-service/networking-features#access-restrictions