Настройка минимальной версии TLS для пространства служебной шины

Пространства имен служебной шины Azure позволяют клиентам отправлять и получать данные с помощью TLS 1.2 и более поздних версий. Чтобы применить более строгие меры безопасности, можно настроить пространство имен служебной шины, чтобы клиенты использовали более новую версию TLS. Если для пространства имен служебной шины требуется минимальная версия TLS, все запросы, сделанные с помощью более старой версии, завершаются сбоем. Общие сведения об этой возможности см. в статье Настройка минимально требуемой версии протокола TLS для запросов к пространству имен служебной шины.

Минимальную версию TLS можно настроить с помощью портала Azure или шаблона Azure Resource Manager (ARM).

Указание минимальной версии TLS на портале Azure

Минимальную версию TLS можно указать при создании пространства имен служебной шины на вкладке Дополнительно портала Azure.

Можно также указать минимальную версию TLS для существующего пространства имен на странице Конфигурация.

Использование Azure CLI

Чтобы создать пространство имен с минимальной версией TLS, установленной на 1.3, используйте az servicebus namespace create команду с --min-tls заданным значением 1.3.

az servicebus namespace create \
    --name mynamespace \
    --resource-group myresourcegroup \
    --min-tls 1.3

Использование Azure PowerShell

Чтобы создать пространство имен с минимальной версией TLS, установленной на 1.3, используйте New-AzServiceBusNamespace команду с -MinimumTlsVersion заданным значением 1.3.

New-AzServiceBusNamespace `
    -ResourceGroup myresourcegroup `
    -Name mynamespace `
    -MinimumTlsVersion 1.3

Создание шаблона для настройки минимальной версии TLS

Чтобы настроить минимальную версию TLS для пространства имен служебной шины, задайте MinimumTlsVersion для свойства версии значение 1.2 или 1.3. При создании пространства имен служебной шины с помощью шаблона Azure Resource Manager свойство по умолчанию имеет значение 1.2, MinimumTlsVersion если вы явно не установите другое значение.

Ниже показано, как это сделать с помощью шаблона на портале Microsoft Azure.

1. На портале Azure выберите "Создать ресурс".
2. В поле поиска в Marketplace введите пользовательское развертывание и нажмите клавишу ВВОД.
3. Выберите настраиваемое развертывание (развертывание с помощью пользовательских шаблонов) (предварительная версия), выберите "Создать " и выберите " Создать собственный шаблон" в редакторе.
4. В редакторе шаблонов вставьте следующий шаблон, чтобы создать новое пространство имен и задать минимальную версию TLS для TLS 1.2. Не забудьте заменить заполнители в угловых скобках собственными значениями.

@description('Name of the Service Bus namespace')
param serviceBusNamespaceName string = 'sb${uniqueString(subscription().subscriptionId)}tls'

@description('Location for all resources.')
param location string = 'westeurope'

@allowed([
  '1.2'
  '1.3'
])
@description('Minimum TLS version')
param minimumTlsVersion string = '1.2'

resource serviceBusNamespace 'Microsoft.ServiceBus/namespaces@2024-01-01' = {
  name: serviceBusNamespaceName
  location: location
  sku: {
    name: 'Standard'
  }
  properties: {
    minimumTlsVersion: minimumTlsVersion
  }
}

{
    "$schema": "https://schema.management.azure.com/schemas/2019-04-01/deploymentTemplate.json#",
    "contentVersion": "1.0.0.0",
    "parameters": {
        "serviceBusNamespaceName": {
            "type": "string",
            "defaultValue": "[concat(uniqueString(subscription().subscriptionId), 'tls')]",
            "metadata": {
                "description": "Name of the Service Bus namespace"
            }
        },
        "location": {
            "type": "string",
            "defaultValue": "westeurope",
            "metadata": {
                "description": "Location for all resources."
            }
        },
        "minimumTlsVersion": {
            "type": "string",
            "defaultValue": "1.2",
            "allowedValues": [
                "1.2",
                "1.3"
            ],
            "metadata": {
                "description": "Minimum TLS version"
            }
        }
    },
    "resources": [
        {
            "type": "Microsoft.ServiceBus/namespaces",
            "apiVersion": "2024-01-01",
            "name": "[parameters('serviceBusNamespaceName')]",
            "location": "[parameters('location')]",
            "sku": {
                "name": "Standard"
            },
            "properties": {
                "minimumTlsVersion": "[parameters('minimumTlsVersion')]"
            }
        }
    ]
}

5. Сохраните шаблон.
6. Укажите параметр группы ресурсов, а затем нажмите кнопку "Проверить и создать ", чтобы развернуть шаблон и создать пространство имен с настроенным свойством MinimumTlsVersion .

Для настройки минимальной версии TLS требуется провайдер ресурсов Служебной шины Azure API-версии 2022-01-01-preview или более поздней.

Проверка минимальной требуемой версии TLS для пространства имен

Чтобы проверить минимальную требуемую версию TLS для пространства имен служебной шины, выполните запрос к API Azure Resource Manager. Для запроса API требуется маркер носителя. Получите маркер с помощью ARMClient и выполните следующие команды.

.\ARMClient.exe login
.\ARMClient.exe token <your-subscription-id>

После получения токена предъявителя используйте следующий скрипт вместе с инструментом, таким как REST Client, для запроса API.

@token = Bearer <Token received from ARMClient>
@subscription = <your-subscription-id>
@resourceGroup = <your-resource-group-name>
@namespaceName = <your-namespace-name>

###
GET https://management.azure.com/subscriptions/{{subscription}}/resourceGroups/{{resourceGroup}}/providers/Microsoft.ServiceBus/namespaces/{{namespaceName}}?api-version=2022-01-01-preview
content-type: application/json
Authorization: {{token}}

Ответ выглядит примерно так, как показано в следующем примере с набором minimumTlsVersion в свойствах.

{
  "sku": {
    "name": "Premium",
    "tier": "Premium"
  },
  "id": "/subscriptions/<your-subscription-id>/resourceGroups/<your-resource-group-name>/providers/Microsoft.ServiceBus/namespaces/<your-namespace-name>",
  "name": "<your-namespace-name>",
  "type": "Microsoft.ServiceBus/Namespaces",
  "location": "West Europe",
  "tags": {},
  "properties": {
    "minimumTlsVersion": "1.2",
    "publicNetworkAccess": "Enabled",
    "disableLocalAuth": false,
    "zoneRedundant": false,
    "provisioningState": "Succeeded",
    "status": "Active"
  }
}

Версия TLS, используемая клиентом

Чтобы проверить, что минимальная требуемая версия TLS для пространства имен служебной шины блокирует вызовы, использующие старую версию, настройте клиент для использования более старой версии TLS.

Когда клиент обращается к пространству имен служебной шины с помощью версии TLS, которая не соответствует минимальной версии TLS, настроенной для пространства имен, служебная шина Azure возвращает код ошибки 401 (несанкционированный) и сообщение, указывающее, что версия TLS не разрешена для выполнения запросов к этому пространству имен служебной шины.

Следующие шаги

Дополнительные сведения см. в следующей документации:

• Настройка минимально требуемой версии протокола TLS для запросов к пространству имен служебной шины
• Использование Политики Azure для выполнения аудита на предмет соответствия требованиям по использованию минимальной версии TLS для пространства имен служебной шины