Disabilitare l'autenticazione di base nelle distribuzioni del servizio app di Azure

Questo articolo illustra come disabilitare l'autenticazione di base del nome utente e della password per la distribuzione del codice nelle app del servizio app di Azure. L'articolo illustra diversi modi per disabilitare l'autenticazione di base, gli eventuali metodi di distribuzione di fallback e come monitorare i tentativi di accesso tramite autenticazione di base.

Il servizio app fornisce l'autenticazione di base per i client FTP e Distribuzione Web per connettersi usando le credenziali di distribuzione composte da nome utente e password. Le API di autenticazione di base sono utili per esplorare il file system del sito, caricare driver e utilità e distribuirli con MSBuild. Per altre informazioni, vedere Configurare le credenziali di distribuzione per il servizio app di Azure.

Le aziende richiedono spesso metodi di distribuzione più sicuri rispetto all'autenticazione di base, ad esempio Microsoft Entra ID. I token di accesso di Microsoft Entra OAuth 2.0 hanno una durata limitata utilizzabile, sono specifici delle applicazioni e delle risorse per cui vengono rilasciati e non possono essere riutilizzati. L'autorizzazione basata su token OAuth consente di attenuare molti problemi con l'autenticazione di base.

Microsoft Entra consente anche di eseguire la distribuzione da altri servizi di Azure usando identità gestite. Per altre informazioni, vedere Tipi di autenticazione in base al metodo di distribuzione nel servizio app di Azure.

Prerequisiti

• Per disabilitare l'autenticazione di base per l'accesso FTP a un'app, è necessario disporre dell'accesso a livello di proprietario all'app.
• Per creare e assegnare un ruolo per impedire agli utenti con privilegi inferiori di abilitare l'autenticazione di base, è necessario disporre delle autorizzazioni Di proprietario o Amministratore accesso utenti nella sottoscrizione.

Disabilitare l'autenticazione di base

Per la distribuzione FTP, l'autenticazione di base è controllata dal flag basicPublishingCredentialsPolicies/ftp o dall'opzione del portale FTP Basic Auth Publishing Credentials.

Per altri metodi di distribuzione che usano l'autenticazione di base, ad esempio Visual Studio, Git locale e GitHub, l'autenticazione di base è controllata dal basicPublishingCredentialsPolicies/scm flag o dall'opzione SCM Basic Auth Publishing Credentials portal .

Per disabilitare l'autenticazione di base:

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Per verificare che l'accesso FTP sia bloccato, provare a connettersi all'app tramite FTP/FTPS. Dovrebbe essere visualizzato un messaggio 401 Non autenticato .

Per verificare che l'accesso Git sia bloccato, provare la distribuzione Git locale. Verrà visualizzato un messaggio di autenticazione non riuscito .

Eseguire la distribuzione senza autenticazione di base

Quando si disabilita l'autenticazione di base, i metodi di distribuzione che dipendono dall'autenticazione di base non funzionano più. Alcuni metodi di distribuzione hanno meccanismi alternativi di distribuzione.

La tabella seguente illustra il comportamento dei vari metodi di distribuzione quando l'autenticazione di base è disabilitata e il meccanismo di fallback, se presente. Per altre informazioni, vedere Tipi di autenticazione in base ai metodi di distribuzione in app Azure Servizio.

Creare un ruolo personalizzato per impedire l'abilitazione dell'autenticazione di base

Per impedire agli utenti con privilegi inferiori di abilitare l'autenticazione di base per qualsiasi app, è possibile creare un ruolo personalizzato e assegnare gli utenti al ruolo.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Monitorare i tentativi di autenticazione di base

Tutti gli account di accesso riusciti e tentati vengono registrati nel tipo di log di Monitoraggio AppServiceAuditLogs di Azure. Per controllare i tentativi e gli accessi riusciti su FTP e Web Deploy, seguire i passaggi indicati in Inviare log a Monitoraggio di Azure e abilitare l'attivazione del AppServiceAuditLogs tipo di log.

Per verificare che i log vengano inviati ai servizi selezionati, provare ad accedere tramite FTP o Distribuzione Web. L'esempio seguente mostra un log dell'account di archiviazione.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Usare criteri correlati all'autenticazione di base

Criteri di Azure consente di applicare gli standard dell'organizzazione e valutare la conformità su larga scala. È possibile usare Criteri di Azure per controllare le app che usano ancora l'autenticazione di base e correggere eventuali risorse non conformi. L'elenco seguente mostra i criteri predefiniti per il controllo e la correzione dell'autenticazione di base nel servizio app:

• Criteri di controllo per FTP
• Criteri di controllo per SCM
• Criteri di correzione per FTP
• Criteri di correzione per SCM

L'elenco seguente mostra i criteri corrispondenti per gli slot:

• Criteri di controllo per FTP
• Criteri di controllo per SCM
• Criteri di correzione per FTP
• Criteri di correzione per SCM

Contenuti correlati

• Tipi di autenticazione in base al metodo di distribuzione nel servizio app di Azure
• Configurare la distribuzione continua nel servizio app di Azure
• Eseguire la distribuzione nel servizio app di Azure usando GitHub Actions
• Eseguire la distribuzione nel servizio app di Azure usando Git in locale
• Distribuire l'app nel servizio app di Azure usando FTP/S