Proteggere il traffico tra app per la logica Standard e reti virtuali di Azure con gli endpoint privati

Articolo
08/09/2024

Si applica: App per la logica di Azure (Standard)

Per garantire comunicazioni sicure e private tra il flusso di lavoro in un'app per la logica Standard e una rete virtuale di Azure, è possibile configurare endpoint privati per il traffico in ingresso e usare l'integrazione della rete virtuale per il traffico in uscita.

Un endpoint privato è un'interfaccia di rete che si connette privatamente e in modo sicuro a un servizio basato su un collegamento privato di Azure. Il servizio può essere un servizio di Azure, ad esempio Archiviazione di Azure, Azure Cosmos DB, SQL o un servizio di collegamento privato. L'endpoint privato usa un indirizzo IP privato della rete virtuale per introdurre in modo efficace il servizio nella rete virtuale.

Questo articolo illustra come configurare l'accesso tramite endpoint privati per il traffico in ingresso e l'integrazione della rete virtuale per il traffico in uscita.

Per altre informazioni, vedere la documentazione seguente:

Prerequisiti

Una rete virtuale di Azure nuova o esistente che include una subnet senza alcuna delega. Questa subnet viene usata per distribuire e allocare indirizzi IP privati dalla rete virtuale.

Per altre informazioni, vedere la documentazione seguente:

Installare o usare uno strumento che può inviare richieste HTTP per testare la soluzione, ad esempio:
Attenzione

Per gli scenari in cui sono presenti dati sensibili, ad esempio credenziali, segreti, token di accesso, chiavi API e altre informazioni simili, assicurarsi di usare uno strumento che protegge i dati con le funzionalità di sicurezza necessarie, funziona offline o in locale, non sincronizza i dati nel cloud e non richiede l'accesso a un account online. In questo modo si riduce il rischio di esporre i dati sensibili al pubblico.

Configurare il traffico in ingresso tramite endpoint privati

Per proteggere il traffico in ingresso al flusso di lavoro, completare questi passaggi generali:

Avviare il flusso di lavoro con un trigger predefinito che può ricevere e gestire le richieste in ingresso, ad esempio il trigger di Richiesta o il trigger HTTP e Webhook. Questo trigger configura il flusso di lavoro con un endpoint chiamabile.
Aggiungere un endpoint privato per la risorsa app per la logica alla rete virtuale.
Effettuare chiamate di test per controllare l'accesso all'endpoint. Per chiamare il flusso di lavoro dell'app per la logica dopo aver configurato questo endpoint, è necessario essere connessi alla rete virtuale.

Considerazioni sul traffico in ingresso tramite endpoint privati

Se si accede dall'esterno della rete virtuale, la visualizzazione di monitoraggio non può accedere agli input e agli output da trigger e azioni.
I trigger webhook dell'API gestita (trigger di push) e le azioni non funzioneranno perché vengono eseguiti nel cloud pubblico e non eseguire chiamate nella rete privata. Per ricevere le chiamate, richiedono un endpoint pubblico. Ad esempio, tali trigger includono il trigger Dataverse e il trigger di Griglia di eventi.
Se si usa il trigger di Office 365 Outlook, il flusso di lavoro viene attivato solo ogni ora.
La distribuzione da Visual Studio Code o dall'interfaccia della riga di comando di Azure funziona solo dall'interno della rete virtuale. È possibile usare il Centro distribuzione per collegare l'app per la logica a un repository GitHub. È quindi possibile usare l'infrastruttura di Azure per compilare e distribuire il codice.

Per consentire il funzionamento dell'integrazione di GitHub, rimuovere l'impostazione WEBSITE_RUN_FROM_PACKAGE dall'app per la logica o impostare il valore su 0.
L'abilitazione del collegamento privato non influisce sul traffico in uscita, che passa comunque attraverso l'infrastruttura del servizio app.

Prerequisiti per il traffico in ingresso attraverso endpoint privati

Oltre alla configurazione della rete virtuale nei prerequisiti generali, è necessario disporre di un flusso di lavoro dell'app per la logica Standard nuovo o esistente che inizia con un trigger predefinito in grado di ricevere richieste.

Ad esempio, il trigger di Richiesta crea un endpoint nel flusso di lavoro che può ricevere e gestire le richieste in ingresso da altri chiamanti, inclusi i flussi di lavoro. Questo endpoint fornisce un URL che è possibile usare per chiamare e attivare il flusso di lavoro. Per questo esempio, i passaggi continuano con il trigger di Richiesta.

Per altre informazioni, vedere Ricevere e rispondere alle richieste HTTP in ingresso usando App per la logica di Azure.

Creare il flusso di lavoro

Se non è già stato fatto, creare un'app per la logica basata su tenant singolo e un flusso di lavoro vuoto.
Dopo l'apertura della finestra di progettazione, aggiungere il trigger di Richiesta come primo passaggio del flusso di lavoro.
In base ai requisiti dello scenario, aggiungere altre azioni da eseguire nel flusso di lavoro.
Al termine, salvare il flusso di lavoro.

Per altre informazioni, vedere Creare flussi di lavoro di app per la logica a tenant singolo in App per la logica di Azure.

Copiare l'URL dell'endpoint

Nel menu del flusso di lavoro selezionare Panoramica.
Nella pagina Panoramica copiare e salvare l'URL flusso di lavoro che sarà necessario più avanti.
Per testare l'URL e attivare il flusso di lavoro, inviare una richiesta HTTP all'URL usando lo strumento di richiesta HTTP e le relative istruzioni.

Configurare la connessione all'endpoint privato

Nel menu della risorsa App per la logica, in Impostazioni selezionare Rete.
Nella pagina Rete selezionare il collegamento accanto a Endpoint privati nella sezione Configurazione traffico in ingresso.
Nella pagina Connessioni endpoint privato selezionare Aggiungi>Rapida o Avanzata.

Per altre informazioni sull'opzione Avanzata, vedere Creare un endpoint privato.
Nel riquadro Aggiungi endpoint privato specificare le informazioni richieste sull'endpoint.

Per altre informazioni, vedere Proprietà dell'endpoint privato.
Una volta che Azure effettua il provisioning dell'endpoint privato, provare nuovamente a chiamare l'URL del flusso di lavoro.

Questa volta viene visualizzato un errore 403 Forbidden previsto, che indica che l'endpoint privato è configurato e funziona correttamente.
Per assicurarsi che la connessione funzioni correttamente, creare una macchina virtuale nella stessa rete virtuale contenente l'endpoint privato e provare a chiamare il flusso di lavoro dell'app per la logica.

Configurare il traffico in uscita tramite l'integrazione della rete virtuale

Per proteggere il traffico in uscita dall'app per la logica, è possibile integrare l'app per la logica con una rete virtuale. Prima di tutto, creare e testare un flusso di lavoro di esempio. È quindi possibile configurare l'integrazione della rete virtuale.

Considerazioni sul traffico in uscita tramite l'integrazione della rete virtuale

La configurazione dell'integrazione della rete virtuale influisce solo sul traffico in uscita. Per proteggere il traffico in ingresso, che continua a usare l'endpoint condiviso del servizio app, vedere Configurare il traffico in ingresso tramite endpoint privati.
Poiché le dimensioni della subnet non possono essere modificate dopo l'assegnazione, usare una subnet sufficientemente grande per supportare la capacità che l'app potrebbe raggiungere. Per evitare problemi con la capacità della subnet, usare una subnet /26 con 64 indirizzi. Se si crea la subnet per l'integrazione della rete virtuale con il portale di Azure, è necessario usare /27 come dimensione minima della subnet.

Per il funzionamento del runtime di App per la logica di Azure, è necessario avere una connessione ininterrotta all'archiviazione back-end. Se l'archiviazione back-end è esposta alla rete virtuale tramite un endpoint privato, assicurarsi che le porte seguenti siano aperte:

Porta di origine	Porta di destinazione	Source (Sorgente)	Destination	Protocollo	Scopo
*	443	Subnet integrata con un'app per la logica Standard	Account di archiviazione	TCP	Account di archiviazione
*	445	Subnet integrata con un'app per la logica Standard	Account di archiviazione	TCP	Condivisione file SMB (Server Message Block)

Per il funzionamento dei connettori gestiti ospitati da Azure, è necessario avere una connessione ininterrotta al servizio API gestito. Con l'integrazione della rete virtuale, assicurarsi che nessun firewall o criterio di sicurezza di rete blocchi queste connessioni. Se la rete virtuale usa un gruppo di sicurezza di rete, una tabella di route definita dall'utente o un firewall, assicurarsi che la rete virtuale consenta le connessioni in uscita per tutti gli indirizzi IP dei connettori gestiti nell'area corrispondente. In caso contrario, i connettori gestiti da Azure non funzioneranno.