RINGKASAN
Tinjauan keamanan Contoso Retail mengidentifikasi empat celah kontrol yang membuat beban kerja tanpa server mereka terekspos: pemicu HTTP yang tidak diautentikasi, string koneksi teks biasa dalam pengaturan aplikasi, tidak ada pembatasan jaringan masuk pada titik akhir aplikasi Fungsi, dan kredensial yang dikodekan secara permanen dalam sumber daya koneksi aplikasi Logika bersama. Modul ini membahas setiap kesenjangan menggunakan kontrol yang diatur di sekitar tiga lapisan keamanan.
Tinjau apa yang Anda konfigurasi
Lapisan autentikasi—mengontrol siapa yang dapat memanggil aplikasi Function—ditangani melalui Autentikasi Azure App Service. Anda mengonfigurasi Microsoft Entra ID sebagai penyedia identitas EasyAuth, menggunakan pengaturan autentikasi Require untuk memblokir permintaan yang tidak diautentikasi sebelum kode fungsi dijalankan. Tingkat otorisasi fungsi menyediakan lapisan tambahan: kunci host untuk akses ke seluruh aplikasi, kunci fungsi untuk pembatasan untuk tiap fungsi, dan tingkat anonim yang dicadangkan untuk endpoint yang dilindungi oleh gateway upstream.
Lapisan identitas—mengontrol tindakan aplikasi Fungsi saat melakukan panggilan hilir—ditangani melalui identitas terkelola yang ditetapkan sistem. Dengan identitas terkelola diaktifkan dan peran RBAC yang sesuai ditetapkan, string koneksi tidak lagi disimpan dalam pengaturan aplikasi. Untuk pola orkestrasi AI yang menggunakan aplikasi Function untuk memanggil titik akhir Azure OpenAI, peran Cognitive Services OpenAI User sepenuhnya menggantikan penyimpanan kunci API. Referensi Key Vault dengan sintaks @Microsoft.KeyVault(SecretUri=...) memperluas pola ini ke pengaturan aplikasi mana pun yang sebelumnya berisi nilai rahasia.
Lapisan isolasi jaringan—mengontrol apa yang dapat mencapai titik akhir fungsi—ditangani melalui pembatasan IP masuk, titik akhir privat untuk aplikasi Fungsi pada paket Elastic Premium atau Dedicated, dan integrasi jaringan virtual untuk lalu lintas keluar. Model tiga lapisan yang sama diterapkan pada Logic Apps, dengan plan Standard yang menyediakan integrasi jaringan virtual, titik akhir privat, dan isolasi tenant tunggal yang tidak didukung oleh plan Consumption. Input aman dan pengaturan output aman pada tindakan aplikasi Logika individual melindungi data sensitif agar tidak muncul dalam riwayat eksekusi.