安全性架構︰通訊安全性 | 風險降低

使用 SSL/TLS 保護與事件中樞的通訊

檢查服務帳戶權限，並確認自訂服務或 ASP.NET 網頁採用 CRM 的安全性

在將內部部署 SQL Server 連線至 Azure Data Factory 時使用資料管理閘道

確定前往 Identity Server 的所有流量都是透過 HTTPS 連線

檢查用來驗證 SSL、TLS 與 DTLS 連線的 X.509 憑證

在 Azure App Service 中設定自訂網域的 TLS/SSL 憑證

強制所有前往 Azure App Service 的流量透過 HTTPS 連線來進行

範例

下列範例包含可強制所有連入流量使用 HTTPS 的基本 URL Rewrite 規則

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Force HTTPS" enabled="true">
          <match url="(.*)" ignoreCase="false" />
          <conditions>
            <add input="{HTTPS}" pattern="off" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

此規則的運作方式是當使用者使用 HTTP 要求頁面時，便傳回 HTTP 狀態碼 301 (永久重新導向)。 301 會將要求重新導向至與訪客要求相同的 URL，但使用 HTTPS 來取代要求的 HTTP 部分。 例如，HTTP://contoso.com 會重新導向至 HTTPS://contoso.com。

啟用 HTTP Strict Transport Security (HSTS)

啟用 SQL Server 連線加密和憑證驗證

強制加密與 SQL Server 的通訊

確定對 Azure 儲存體的通訊是透過 HTTPS 來進行

如果無法啟用 HTTPS，則在下載 Blob 之後驗證 MD5 雜湊

使用 SMB 3.x 相容用戶端來確保要傳輸到 Azure 檔案共用的資料會加密

實作憑證關聯

範例

using System;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography;

namespace CertificatePinningExample
{
    class CertificatePinningExample
    {
        /* Note: In this example, we're hardcoding the certificate's public key and algorithm for 
           demonstration purposes. In a real-world application, this should be stored in a secure
           configuration area that can be updated as needed. */

        private static readonly string PINNED_ALGORITHM = "RSA";

        private static readonly string PINNED_PUBLIC_KEY = "3082010A0282010100B0E75B7CBE56D31658EF79B3A1" +
            "294D506A88DFCDD603F6EF15E7F5BCBDF32291EC50B2B82BA158E905FE6A83EE044A48258B07FAC3D6356AF09B2" +
            "3EDAB15D00507B70DB08DB9A20C7D1201417B3071A346D663A241061C151B6EC5B5B4ECCCDCDBEA24F051962809" +
            "FEC499BF2D093C06E3BDA7D0BB83CDC1C2C6660B8ECB2EA30A685ADE2DC83C88314010FFC7F4F0F895EDDBE5C02" +
            "ABF78E50B708E0A0EB984A9AA536BCE61A0C31DB95425C6FEE5A564B158EE7C4F0693C439AE010EF83CA8155750" +
            "09B17537C29F86071E5DD8CA50EBD8A409494F479B07574D83EDCE6F68A8F7D40447471D05BC3F5EAD7862FA748" +
            "EA3C92A60A128344B1CEF7A0B0D94E50203010001";


        public static void Main(string[] args)
        {
            HttpWebRequest request = (HttpWebRequest)WebRequest.Create("https://azure.microsoft.com");
            request.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
            {
                if (certificate == null || sslPolicyErrors != SslPolicyErrors.None)
                {
                    // Error getting certificate or the certificate failed basic validation
                    return false;
                }

                var targetKeyAlgorithm = new Oid(certificate.GetKeyAlgorithm()).FriendlyName;
                var targetPublicKey = certificate.GetPublicKeyString();
                
                if (targetKeyAlgorithm == PINNED_ALGORITHM &&
                    targetPublicKey == PINNED_PUBLIC_KEY)
                {
                    // Success, the certificate matches the pinned value.
                    return true;
                }
                // Reject, either the key or the algorithm does not match the expected value.
                return false;
            };

            try
            {
                var response = (HttpWebResponse)request.GetResponse();
                Console.WriteLine($"Success, HTTP status code: {response.StatusCode}");
            }
            catch(Exception ex)
            {
                Console.WriteLine($"Failure, {ex.Message}");
            }
            Console.WriteLine("Press any key to end.");
            Console.ReadKey();
        }
    }
}

啟用 HTTPS - 安全傳輸通道

WCF︰將訊息安全性保護層級設定為 EncryptAndSign

範例

下列範例顯示將服務和作業設定為只簽署訊息的情況。 ProtectionLevel.Sign 的服務合約範例：以下是在服務合約層級使用 ProtectionLevel.Sign 的範例︰

[ServiceContract(Protection Level=ProtectionLevel.Sign] 
public interface IService 
  { 
  string GetData(int value); 
  } 

範例

ProtectionLevel.Sign 的作業合約範例 (適用於細微控制)︰以下是在作業合約層級使用 ProtectionLevel.Sign 的範例︰

[OperationContract(ProtectionLevel=ProtectionLevel.Sign] 
string GetData(int value);

WCF︰使用最低權限帳戶來執行 WCF 服務

強制所有前往 Web API 的流量透過 HTTPS 連線來進行

範例

下列程式碼顯示會檢查 TLS 的 Web API 驗證篩選：

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }
}

將此篩選新增至任何需要 TLS 的 Web API 動作：

public class ValuesController : ApiController
{
    [RequireHttps]
    public HttpResponseMessage Get() { ... }
}

確定對 Azure Cache for Redis 的通訊是透過 TLS

請注意，Redis 是設計成要供受信任環境內的受信任用戶端存取。 這表示，讓 Redis 執行個體直接面對網際網路通常不是什麼好主意，或者一般來說，讓它直接面對不受信任之用戶端可直接存取 Redis TCP 連接埠或 UNIX 通訊端的環境也不是好主意。

保護裝置對現場閘道的通訊

使用 SSL/TLS 保護裝置對雲端閘道的通訊