App Service 環境的自訂組態設定

發行項
10/23/2024

概觀

因為 App Service 環境對單一客戶是隔離的，所以有某些專門套用到 App Service 環境的組態設定。本文記錄各種可供 App Service 環境使用的特定自訂。

注意

本文涵蓋 App Service 環境第 3 版的功能、優點和使用案例，其會與 App Service 隔離第 2 版方案搭配使用。

如果您沒有 App Service 環境，則請參閱如何建立 App Service 環境 v3。

您可以使用新 clusterSettings 屬性的陣列儲存 App Service 環境自訂。這個屬性是在 hostingEnvironments Azure Resource Manager 實體的「屬性」字典中找到的。

下列縮寫的 Resource Manager 範本程式碼片段顯示 clusterSettings 屬性︰

"resources": [
{
    "apiVersion": "2021-03-01",
    "type": "Microsoft.Web/hostingEnvironments",
    "name": ...,
    "location": ...,
    "properties": {
        "clusterSettings": [
            {
                "name": "nameOfCustomSetting",
                "value": "valueOfCustomSetting"
            }
        ],
        "internalLoadBalancingMode": ...,
        etc...
    }
}

clusterSettings 屬性可以包含在 Resource Manager 範本中，以更新 App Service 環境。

使用 Azure 資源總管更新 App Service 環境

或者，您可以使用 Azure 資源總管更新 App Service 環境。

在 [資源總管] 中，移至 App Service 環境的節點 ([訂用帳戶] > [{您的訂用帳戶}] > [resourceGroups] > [{您的資源群組}] > [提供者] > [Microsoft.Web] > [hostingEnvironments])。接著，按一下您想要更新的特定 App Service 環境。
按一下右窗格上方工具列中的 [讀取/寫入] ，允許在資源總管中進行互動式編輯。
按一下藍色的 [編輯] 按鈕，開放編輯 Resource Manager 範本。
向下捲動到右窗格底部。 clusterSettings 屬性位在最底部，您可以在此輸入或更新其值。
輸入 (或複製並貼上) 您希望 clusterSettings 屬性出現的組態值陣列。
按一下右窗格上方的綠色 [PUT] 按鈕，確認 App Service 環境的變更。

不過，您提交變更時不會立即變更，而且變更最多可能需要 24 小時才會生效。某些設定具有設定特定設定的時間和影響的特定詳細數據。

啟用內部加密

App Service 環境會以黑箱系統的方式運作，您看不到內部元件或系統內的通訊。若要達到更高的輸送量，內部元件之間預設不會啟用加密。系統是安全的，因為流量無法存取，因此不會進行監視或存取。如果您有合規性需求，但需要從端對端完整加密資料路徑，則可以使用 clusterSetting 來啟用完整加密資料路徑的加密。

"clusterSettings": [
    {
        "name": "InternalEncryption",
        "value": "true"
    }
],

將 InternalEncryption 設定為 true，會加密 App Service 環境中前端與背景工作角色之間的內部網路流量、加密分頁檔，同時加密背景工作角色磁碟。啟用 InternalEncryption clusterSetting 之後，可能會對系統效能造成影響。當您進行變更以啟用 InternalEncryption 時，您的 App Service 環境將會處於不穩定的狀態，直到變更完全傳播為止。根據您 App Service 環境中的執行個體數目，變更的完整傳播可能需要幾小時才能完成。強烈建議您不要在使用中的 App Service 環境上啟用 InternalEncryption。如果您需要在主動使用的 App Service 環境上啟用 InternalEncryption，強烈建議您將流量轉向備份環境，直到作業完成為止。

停用 TLS 1.0 和 TLS 1.1

如果您想要依照應用程式基礎來管理應用程式的 TLS 設定，您可以使用強制使用 TLS 設定文件所提供的指導方針。

如果您想要停用 App Service 環境中所有應用程式的所有輸入 TLS 1.0 和 TLS 1.1 流量，您可以設定下列 clusterSettings 項目：

"clusterSettings": [
    {
        "name": "DisableTls1.0",
        "value": "1"
    }
],

設定的名稱指出 1.0，但若已設定，它會同時停用 TLS 1.0 與 TLS 1.1。

變更 TLS 加密套件順序

App Service 環境支援從預設值變更加密套件。密碼的預設集合與多租使用者 App Service 中使用的集合相同。變更加密套件僅適用於 App Service 環境單一租使用者供應專案，而不是多租使用者供應專案，因為變更它會影響整個 App Service 部署。 App Service 環境需要兩個加密套件：TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384和TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256。此外，您應該包含 TLS 1.3 所需的下列加密套件：TLS_AES_256_GCM_SHA384和TLS_AES_128_GCM_SHA256。

若要將 App Service 環境設定為只使用所需的加密，請修改 clusterSettings，如下列範例所示。 請確定清單開頭包含 TLS 1.3 加密。

"clusterSettings": [
    {
        "name": "FrontEndSSLCipherSuiteOrder",
        "value": "TLS_AES_256_GCM_SHA384,TLS_AES_128_GCM_SHA256,TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384,TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256"
    }
],

警告

如果對安全通道無法了解的加密套件設定了不正確的值，對您的伺服器的所有 TLS 通訊可能會停止運作。在這種情況下，您必須從 clusterSettings 移除 FrontEndSSLCipherSuiteOrder 項目，並提交更新的 Resource Manager 範本以還原回預設的加密套件設定。請謹慎使用這項功能。

開始使用

Azure 快速入門 Resource Manager 範本網站包含具有建立 App Service 環境基本定義的範本。

共用方式為