Implementer adgangskontrol på netværksniveau

  • 6 minutter

Azure Cosmos DB understøtter IP-baserede adgangskontrolelementer til indgående firewallsupport. Konfiguration af en firewall til din Azure Cosmos-konto gør kontoen kun tilgængelig fra et godkendt sæt computere og/eller cloudtjenester. Firewallen hjælper kun med at sikre netværkslaget. Forbindelser kræver stadig, at kalderen præsenterer et gyldigt godkendelsestoken.

IP-adgangskontrol

Azure Cosmos DB-konti gør det som standard muligt for alle netværk og IP'er fra internettet at få adgang til kontoen. Forbindelsesanmodningen kræves kun for at præsentere et gyldigt godkendelsestoken. Hvis du vil konfigurere netværkssikkerhed for din Azure Cosmos DB-konto, skal du angive et enkelt IPv4- eller CIDR-område for kun at begrænse adgangen fra det angivne IP- eller IP-interval. Forbindelser fra en IP-adresse, der ikke er en del af den angivne liste over tilladte IP-adresser, modtager et 403-svar (forbudt). Da du måske bruger Azure Portal til at køre scripts i Azure Cosmos DB-kontoens Data Explorer eller måske gennemgår målepunkter for kontoen, skal du også aktivere indstillingen Tillad adgang fra Azure Portal i firewallkonfigurationen. Hvis du vil bruge disse Azure Cosmos DB-funktioner på Azure Portal, skal du også vælge + Tilføj min aktuelle IP-adresse (#.#.#.#) for at tilføje din aktuelle IP-adresse.

Adgang til en Azure Cosmos DB-konto kan også udføres med undernet og VNET-adgangskontrol. Du kan kombinere både adgang til et bestemt undernet i et VNET og den IP-baserede firewall for at begrænse adgangen fra offentlige IP-adresser. Uanset hvilken netværkssikkerhed der bruges, skal du stadig præsentere et gyldigt godkendelsestoken.

Du kan konfigurere firewallreglerne for din Azure Cosmos DB-konto:

  • Fra Azure Portal.
  • Brug af en Azure Resource Manager-skabelon.
  • Via Azure CLI eller Azure PowerShell ved at opdatere egenskaben ipRangeFilter.

Konfigurer en IP-firewall ved hjælp af Azure Portal

Konfigurer en IP-firewall ved hjælp af Azure Portal:

  1. På siden Azure Cosmos DB-konto skal du vælge Firewall og virtuelle netværk.

  2. Vælg indstillingen Valgte netværk .

    Diagram, der viser indstillingerne for firewallindstillinger.

  3. (valgfrit) Sådan tilføjer du et virtuelt netværk:

    1. Vælg + Tilføj eksisterende virtuel for at vælge fra en liste over allerede eksisterende virtuelle netværk. I dette eksempel findes der kun ét eksisterende virtuelt netværk, virtualnetwork1.

      Diagram, der viser en liste over eksisterende virtuelle netværk.

    2. Vælg + Tilføj nyt virtuelt netværk.

      Diagram, der viser mulighederne for at oprette et nyt virtuelt netværk.

  4. (valgfrit) Vælg + Tilføj min nuværende IP (#.#.#.#) for at kunne oprette forbindelse fra din nuværende klient. Gennemse den klient-IP, der vises i denne indstilling, og valider, om det er den korrekte offentlige IP-adresse. Denne indstilling hjælper med at forenkle udviklingen, da apps, der kører på din klient-IP, får tilladelse til at oprette forbindelse til Azure Cosmos DB-kontoen.

  5. Tilføj et enkelt IPv4- eller CIDR-område under Firewall. Det er denne indstilling, der begrænser adgangen fra de angivne IP- eller IP-intervaller. Tilføj så mange IP-adresser eller IP-områder efter behov. Du skal hente de offentlige IP-adresser fra cloudtjenester, virtuelle maskiner eller en hvilken som helst computer, der skal oprette forbindelse til Azure Cosmos DB. Hvis disse tjenester, fysiske eller virtuelle maskiner har en IP, der er i et tilladt virtuelt netværk, er det muligvis ikke nødvendigt at tilføje deres offentlige IP.

  6. Du kan aktivere anmodninger om adgang fra Azure Portal ved at vælge indstillingen Tillad adgang fra Azure Portal .

  7. (valgfrit) Du kan aktivere adgang fra andre kilder i Azure ved at vælge indstillingen Accepter forbindelser fra Azure-datacentre. Denne indstilling giver adgang til Azure Cosmos DB-kontoen fra tjenester, der ikke leverer en statisk IP-adresse, f.eks. Azure Stream Analytics og Azure Functions. Denne indstilling tillader alle anmodninger fra Azure, herunder anmodninger, der kan stamme fra andre kundeabonnementer. Listen over IP-adresser, der tillades af denne indstilling, er bred, så den begrænser effektiviteten af en firewallpolitik. Brug kun denne indstilling, hvis dine anmodninger ikke stammer fra statiske IP-adresser eller undernet i virtuelle netværk.

Foretag fejlfinding af problemer med en politik for IP-adgangskontrol

Lad os gennemgå nogle potentielle problemer, der kan opstå med en politik for IP-adgangskontrol:

Azure Portal er blokeret

Når politikken for IP-adgangskontrol er aktiveret, skal du vælge indstillingen Tillad adgang fra Azure Portal i indstillingerne for Azure Cosmos DB-kontofirewall og virtuelle netværk for at aktivere handlinger på portalens dataplan, f.eks. gennemse objektbeholdere og forespørge på dokumenter.

SDK er blokeret

Hvis dine programmer får et generisk 403 Forbudt svar, skal du kontrollere den tilladte IP-liste for din konto og sørge for, at den korrekte politikkonfiguration anvendes på din Azure Cosmos DB-konto.

Kilde-IP'er blokeret i anmodninger

Hvis du vil foretage fejlfinding, skal du aktivere logføring af diagnosticering på din Azure Cosmos DB-konto. De 403 returkoder logføres for firewallrelaterede meddelelser. Du kan filtrere disse meddelelser for at returnere kilde-IP'erne for de blokerede anmodninger.

Anmodninger fra et undernet med et tjenesteslutpunkt for Azure Cosmos DB aktiveret

Anmodninger fra et undernet i et virtuelt netværk, der har et tjenesteslutpunkt for Azure Cosmos DB aktiveret, sender det virtuelle netværks- og undernetidentitet til Azure Cosmos DB-konti. Disse anmodninger har ikke kildens offentlige IP, så IP-filtre afviser dem. Hvis du vil tillade adgang fra bestemte undernet i virtuelle netværk, skal du tilføje en adgangskontrolliste.

Private IP-adresser på listen over tilladte adresser

Sørg for, at der ikke er angivet en privat IP-adresse på listen over tilladte adresser.