Отключение базовой проверки подлинности в развертываниях Службы приложений Azure

В этой статье показано, как отключить базовую проверку подлинности (имя пользователя и пароль) при развертывании кода в приложениях Службы приложений Azure.

Служба приложений обеспечивает базовую проверку подлинности для клиентов FTP и веб-развертывания, которые могут подключаться с помощью учетных данных развертывания. Эти API отлично подходят для просмотра файловой системы сайта, отправки драйверов и служебных программ и развертывания с помощью MSBuild.

Однако предприятиям часто требуются методы развертывания, которые являются более безопасными, чем обычная проверка подлинности, например проверка подлинности Идентификатора Microsoft Entra . (Дополнительные сведения см. в разделе "Типы проверки подлинности по методу развертывания" в службе приложений Azure.) Microsoft Entra использует авторизацию на основе маркеров OAuth 2.0, которая имеет множество преимуществ и улучшений, которые помогают устранить основные проблемы проверки подлинности. Например, маркеры доступа OAuth имеют ограниченное время существования и относятся к приложениям и ресурсам, для которых они выданы. Они не могут быть повторно использованы. Microsoft Entra также позволяет развертывать службы из других служб Azure с использованием управляемых удостоверений.

Отключение обычной проверки подлинности

Доступны два элемента управления для базовой проверки подлинности:

• Для развертывания FTP базовая аутентификация контролируется флагом basicPublishingCredentialsPolicies/ftp (на портале используется параметр базовые учетные данные для публикации FTP).
• Для других методов развертывания, использующих базовую проверку подлинности, таких как Visual Studio, локальная Git и GitHub, базовая проверка подлинности контролируется флагом basicPublishingCredentialsPolicies/scm (параметром учетных данных публикации SCM Basic Auth на портале).

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Чтобы убедиться, что доступ к FTP заблокирован, попробуйте подключиться к приложению с помощью FTP/FTPS. Вы должны получить сообщение "401 Unauthenticated".

Чтобы убедиться, что доступ к Git заблокирован, попробуйте локальное развертывание Git. Должно появиться сообщение "Сбой проверки подлинности".

Развертывание без базовой проверки подлинности

При отключении базовой проверки подлинности методы развертывания, зависящие от простой проверки подлинности, перестают работать.

В следующей таблице показано, как работают различные методы развертывания при отключении базовой проверки подлинности и если есть какой-либо резервный механизм. Дополнительные сведения см. в разделе Типы проверки подлинности по методам развертывания в службе приложений Azure.

Создание настраиваемой роли без разрешений для базовой проверки подлинности

Чтобы запретить пользователю с более низким уровнем привилегий включить базовую проверку подлинности для любого приложения, можно создать пользовательскую роль и назначить пользователя роли.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/scm/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/scm/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Мониторинг базовых попыток проверки подлинности

Все успешные и неудачные попытки входа регистрируются в журнал Azure Monitor AppServiceAuditLogs. Чтобы проверить попытки и успешные логины в FTP и Web Deploy, выполните действия, описанные в статье Отправка журналов в Azure Monitor и включите отправку AppServiceAuditLogs типа журнала.

Чтобы убедиться, что журналы отправляются в выбранные службы, попробуйте войти через FTP или Web Deploy. В следующем примере показан журнал учетной записи хранения.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Основные политики проверки подлинности

Политика Azure поможет обеспечить соблюдение стандартов организации и оценить соответствие требованиям в масштабе. Вы можете использовать Политика Azure для аудита любых приложений, которые по-прежнему используют базовую проверку подлинности, и устранять любые несоответствующие ресурсы. Ниже приведены встроенные политики для аудита и исправления базовой проверки подлинности по службе приложений.

• Политика аудита для FTP
• Политика аудита для SCM
• Политика исправления для FTP
• Политика исправления для SCM

Ниже приведены соответствующие политики для слотов:

• Политика аудита для FTP
• Политика аудита для SCM
• Политика исправления для FTP
• Политика исправления для SCM

Часто задаваемые вопросы

Почему в Visual Studio отображается предупреждение об отключении базовой проверки подлинности?

Visual Studio требует базовой проверки подлинности для развертывания на службе приложений Azure. Предупреждение напоминает вам, что конфигурация приложения изменилась, и вы больше не сможете развернуть его. Либо вы отключили обычную проверку подлинности в приложении самостоятельно, либо политика вашей организации требует отключения обычной проверки подлинности для приложений службы приложений.