Nerdio Manager basiert auf der Kommunikation zwischen zwei Azure PaaS-Diensten: Azure App Service und Azure SQL-Datenbank. Standardmäßig ist diese Kommunikation mit Transport Layer Security verschlüsselt, und ruhende Daten werden ebenfalls mithilfe von Transparent Data Encryption verschlüsselt.
Um die Kommunikation zwischen der App Service-Instanz und der SQL-Datenbank weiter zu schützen, ist es möglich, den Netzwerkverkehr auf zwei verschiedene Arten einzuschränken:
-
Fügen Sie die ausgehenden IP-Adressen des App Service zur Firewall des Azure SQL-Servers hinzu: Diese Methode stellt sicher, dass nur Anfragen von den IPs Ihrer Nerdio Manager-Instanz den Server erreichen können. Der Azure App Service wird jedoch auf einer gemeinsam genutzten Infrastruktur gehostet. Jeder andere App Service, der im selben Cluster wie Nerdio Manager bereitgestellt wird, teilt sich dieselben ausgehenden IPs.
Anmerkung
IP-Adressen, die mit dem App Service-Cluster verknüpft sind, können sich im Laufe der Zeit ändern oder aktualisieren. Es kann erforderlich sein, die Firewall regelmäßig mit allen Änderungen an den Cluster-IP-Adressen zu aktualisieren. Wir empfehlen Ihnen, VNet und Subnetz zur Liste zulässiger [Objekt] hinzuzufügen, um diese Unannehmlichkeiten zu vermeiden.
-
Leiten Sie den Datenverkehr vom App Service über ein VNet weiter: Erstellen Sie einen Azure SQL-Dienstendpunkt im VNet. Der Datenverkehr zum SQL-Server kann dann so eingeschränkt werden, dass nur Datenverkehr aus dem VNet zugelassen wird.
Um den SQL-Datenverkehr auf die IP-Adressen des App Service zu beschränken, müssen Sie zunächst mithilfe von Discovery die IP-Adressen ermitteln, die der App Service verwendet.
So beschränken Sie den SQL-Datenverkehr:
-
Führen Sie optional den folgenden PowerShell- oder CloudShell-Befehl aus:
Login-AzAccount (Get-AzWebApp -ResourceGroup <group_name> -name <app_name>).OutboundIpAddresses
Dies gibt mehrere IP-Adressen zurück, die mit Ihrem Nerdio Manager App Service verknüpft sind. Ausgehende Anforderungen können von jeder der angezeigten IP-Adressen stammen.
-
Suchen Sie im Azure-Portal nach SQL-Servern und finden Sie den Server nmw-app-sql-*.
-
Scrollen Sie im Menü auf der linken Seite des SQL Server Blade nach unten zum Abschnitt Sicherheit.
-
Wählen Sie Netzwerk aus.
-
Geben Sie im Bereich Öffentlicher Zugriff die folgenden Informationen ein:
-
Wählen Sie Ausgewählte Netzwerke (Standardoption).
-
Geben Sie für jede mit Ihrem App Service verknüpfte IP-Adresse eine Regel ein.
-
Deaktivieren Sie die Option Azure-Diensten und -Ressourcen den Zugriff auf diesen Server erlauben.
-
-
Sobald Sie alle IP-Adressen eingegeben haben, wählen Sie Speichern.
Der Datenverkehr zum SQL Server ist nun auf diese Adressen beschränkt.
Wenn die Beschränkung des Datenverkehrs auf die ausgehenden IP-Adressen Ihres App Service Ihre Sicherheitsanforderungen nicht erfüllt, können Sie den gesamten App Service-Datenverkehr über ein VNet leiten und den SQL-Datenverkehr auf dieses VNet einschränken.
Anmerkung
-
Die VNet-Integration erfordert, dass Ihr App Service-Plan mindestens den Tarif Standard nutzt. Weitere Informationen finden Sie unter Upgrade des Azure App Service.
-
Für die VNet-Integration kann ein vorhandenes oder ein neues VNet verwendet werden.
So aktivieren Sie die VNet-Integration für den App Service von Nerdio Manager:
-
Weitere Informationen finden Sie unter Aktivieren der VNet-Integration für den App Service von Nerdio Manager.
So härten Sie den SQL Server:
-
Suchen Sie im Azure-Portal nach SQL Servern und lokalisieren Sie den Server nmw-app-sql-*.
-
Scrollen Sie im Menü auf der linken Seite des SQL Server-Blades nach unten zum Abschnitt Sicherheit.
-
Wählen Sie Netzwerkmanagement aus.
-
Geben Sie im Bereich Öffentlicher Zugriff die folgenden Informationen ein:
-
Wählen Sie Ausgewählte Netzwerke (Standardoption).
-
Fügen Sie die gewünschten virtuellen Netzwerke und Firewallregeln hinzu.
-
Deaktivieren Sie die Option Azure-Diensten und -Ressourcen den Zugriff auf diesen Server erlauben.
-
-
Sobald Sie alle gewünschten Informationen eingegeben haben, wählen Sie Speichern.
Der Datenverkehr vom Nerdio Manager App Service wird nun über Ihr virtuelles Netzwerk an den SQL Server-Dienstendpunkt weitergeleitet. Nur Datenverkehr aus Ihrem virtuellen Netzwerk darf eine Verbindung zur Datenbank herstellen.
Verwandte Themen
Kommentare (0 Kommentare)