Disabilitare l'autenticazione di base nelle distribuzioni di servizio app

Questo articolo illustra come disabilitare l'autenticazione di base (autenticazione con nome utente e password) durante la distribuzione del codice nelle app servizio app.

servizio app fornisce l'autenticazione di base per i client FTP e WebDeploy a cui connettersi usando le credenziali di distribuzione. Queste API sono ideali per esplorare il file system del sito, caricare driver e utilità e distribuirli con MsBuild. Tuttavia, le aziende spesso richiedono metodi di distribuzione più sicuri rispetto all'autenticazione di base, ad esempio l'autenticazione CON ID Di Microsoft Entra (vedere Tipi di autenticazione in base ai metodi di distribuzione in app Azure Servizio). Microsoft Entra usa l'autorizzazione basata su token OAuth 2.0 e offre numerosi vantaggi e miglioramenti che consentono di attenuare i problemi nell'autenticazione di base. Ad esempio, i token di accesso OAuth hanno una durata limitata utilizzabile e sono specifici per le applicazioni e le risorse per cui vengono rilasciati, in modo che non possano essere riutilizzati. Microsoft Entra consente anche di eseguire la distribuzione da altri servizi di Azure usando identità gestite.

Disabilitare l'autenticazione di base

Sono disponibili due diversi controlli per l'autenticazione di base. In particolare:

• Per la distribuzione FTP, l'autenticazione di base è controllata dal basicPublishingCredentialsPolicies/ftp flag (opzione FTP Basic Auth Publishing Credentials nel portale).
• Per altri metodi di distribuzione che usano l'autenticazione di base, ad esempio Visual Studio, Git locale e GitHub, l'autenticazione di base è controllata dal basicPublishingCredentialsPolicies/scm flag (opzione SCM Basic Auth Publishing Credentials nel portale).

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Per verificare che l'accesso FTP sia bloccato, provare a connettersi all'app tramite FTP/S. Dovrebbe essere visualizzato un 401 Unauthenticated messaggio.

Per verificare che l'accesso Git sia bloccato, provare la distribuzione Git locale. Dovrebbe essere visualizzato un Authentication failed messaggio.

Distribuzione senza autenticazione di base

Quando si disabilita l'autenticazione di base, i metodi di distribuzione che dipendono dall'autenticazione di base non funzionano.

La tabella seguente illustra il comportamento dei vari metodi di distribuzione quando l'autenticazione di base è disabilitata e se esiste un meccanismo di fallback. Per altre informazioni, vedere Tipi di autenticazione in base ai metodi di distribuzione in app Azure Servizio.

Creare un ruolo personalizzato senza autorizzazioni per l'autenticazione di base

Per impedire a un utente con privilegi inferiori di abilitare l'autenticazione di base per qualsiasi app, è possibile creare un ruolo personalizzato e assegnare l'utente al ruolo.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/scm/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/scm/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Monitorare i tentativi di autenticazione di base

Tutti gli account di accesso riusciti e tentati vengono registrati nel tipo di log di Monitoraggio AppServiceAuditLogs di Azure. Per controllare i tentativi e gli accessi riusciti in FTP e WebDeploy, seguire la procedura descritta in Inviare log a Monitoraggio di Azure e abilitare la spedizione del AppServiceAuditLogs tipo di log.

Per verificare che i log vengano inviati ai servizi selezionati, provare ad accedere tramite FTP o WebDeploy. L'esempio seguente mostra un log dell'account di archiviazione.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Criteri correlati all'autenticazione di base

Criteri di Azure consente di applicare gli standard dell'organizzazione e di valutare la conformità su larga scala. È possibile usare Criteri di Azure per controllare le app che usano ancora l'autenticazione di base e correggere eventuali risorse non conformi. Di seguito sono riportati i criteri predefiniti per il controllo e la correzione dell'autenticazione di base in servizio app:

• Criteri di controllo per FTP
• Criteri di controllo per SCM
• Criteri di correzione per FTP
• Criteri di correzione per SCM

Di seguito sono riportati i criteri corrispondenti per gli slot:

• Criteri di controllo per FTP
• Criteri di controllo per SCM
• Criteri di correzione per FTP
• Criteri di correzione per SCM

Domande frequenti

Perché viene visualizzato un avviso in Visual Studio che indica che l'autenticazione di base è disabilitata?

Visual Studio richiede l'autenticazione di base per la distribuzione nel servizio app Azure. L'avviso ricorda che la configurazione nell'app è stata modificata e non è più possibile distribuirla. L'autenticazione di base è stata disabilitata manualmente nell'app oppure i criteri dell'organizzazione impongono che l'autenticazione di base sia disabilitata per le app servizio app.