Configurer l’insertion d’en-tête HTTP dans Pare-feu Azure

Utilisez l’insertion d’en-tête HTTP Pare-feu Azure pour ajouter ou modifier des en-têtes HTTP pour le trafic web. En personnalisant les en-têtes, les organisations peuvent appliquer des politiques de sécurité, intégrer des jetons d’authentification et s’intégrer aux services backend. Cette fonctionnalité améliore la sécurité, aide à la conformité et optimise la gestion du trafic, en particulier pour les applications nécessitant des en-têtes spécifiques pour l’accès ou l’identification. Configurez l’insertion d’en-tête HTTP par règle d’application. Lorsque le trafic correspond à une règle d’application configurée avec insertion d’en-tête HTTP, Pare-feu Azure insère les en-têtes HTTP configurés.

Scénarios et limitations pris en charge

La fonction d’insertion d’en-tête HTTP est conçue pour des cas d’usage spécifiques et présente certaines contraintes.

Scénarios pris en charge

• Dans le SKU Premium, cette fonctionnalité prend en charge le trafic HTTP et le trafic HTTPS déchiffré via l’inspection TLS.
• Dans les SKU Standard et Basic, cette fonctionnalité prend en charge le trafic HTTP.
• Vous pouvez également configurer cette fonctionnalité en utilisant Pare-feu Azure Policy Draft + Deployment.

Limitations

Gardez à l’esprit les limitations suivantes :

• Vous ne pouvez pas insérer certains en-têtes réservés comme en-têtes HTTP personnalisés dans les règles de l’application. Le tableau suivant liste les en-têtes réservés, regroupés par catégorie.
• Insérer des en-têtes HTTP peut réduire le nombre total de règles dans un groupe de collection de règles, donc utilisez l’insertion d’en-tête HTTP avec soin. Si vous atteignez la limite JSON d’un groupe de collection de règles, créez un nouveau groupe de collection de règles et ajoutez des règles à cet endroit.

Catégorie	En-têtes réservés
Généralités et lien	host, connection, content-lengthtransfer-encoding, , upgrade, via, te, ,trailer
Authentification et cookies	proxy-authorization, proxy-authenticate, authorization, cookie, set-cookie
Security	content-security-policy, strict-transport-security, x-frame-optionsx-content-type-options, , referrer-policy, , public-key-pinsexpect-ctx-xss-protectionx-xsrf-token
Transfert	x-forwarded-for, x-forwarded-proto, x-forwarded-host, x-forwarded-port, x-forwarded-scheme, forwarded
Other	metadata

Étapes de configuration

Les sections suivantes fournissent des instructions étape par étape pour l’insertion d’en-tête HTTP.

Ces étapes supposent que vous avez déjà une politique Pare-feu Azure existante (fw-policydans les exemples suivants). Si vous n'en avez pas, consultez Déployer et configurer la politique Pare-feu Azure.

Note

Effectuez les mêmes étapes pour le trafic HTTPS qui a l’inspection TLS activée. Les noms d’en-tête peuvent comporter jusqu’à 100 caractères. Les valeurs d’en-tête peuvent contenir jusqu’à 16K (16 000) caractères. La longueur maximale totale des en-têtes HTTP (somme de tous les noms et valeurs de l’en-tête HTTP autorisés dans chaque règle d’application est de 16 Ko (16 384 octets).

Portal

1. Dans le portail Azure, allez dans une politique de pare-feu existante ou créez-en une nouvelle.

2. Sélectionnez les règles, puis les règles d’application.

3. Créez une nouvelle règle d’application ou modifiez une règle existante.

4. Dans le panneau de configuration des règles, localisez la section Insertion d’En-tête HTTP .

5. Ajoutez les en-têtes nécessaires en spécifiant le nom et la valeur de l’en-tête. Vous pouvez ajouter plusieurs en-têtes selon les besoins.

   

6. Enregistrez la règle.

7. Pour vérifier que les en-têtes sont bien configurés, rouvrez la règle et confirmez que la section Insertion d’En-tête HTTP affiche les noms et valeurs des en-têtes que vous avez ajoutés.

CLI

1. Connectez-vous à votre compte Azure en exécutant la commande de connexion az.

2. Créez un groupe de collections de règles à l’aide de az network firewall policy rule-collection-group create.

   az network firewall policy rule-collection-group create \
       --name rcg-c \
       --policy-name fw-policy \
       --resource-group test-rg \
       --priority 10000
   

3. Ajoutez une collection de règles contenant une règle d’application avec un en-tête HTTP personnalisé à l’aide de az network firewall policy rule-collection-group collection add-filter-collection.

   az network firewall policy rule-collection-group collection add-filter-collection \
       --policy-name "fw-policy" \
       --resource-group "test-rg" \
       --rcg-name "rcg-c" \
       --name "app_collection_1" \
       --collection-priority 10003 \
       --action Allow \
       --rule-name "app_rule_1" \
       --rule-type ApplicationRule \
       --target-fqdns "*.microsoft.com" "*.azure.com" \
       --source-addresses "10.0.0.5" "10.0.0.6" \
       --protocols Http=80 \
       --description "Allow access to Microsoft and Azure domains with header insertion" \
       --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"
   

4. Vérifiez que la règle est créée et que les en-têtes sont correctement configurés à l’aide de az network firewall policy rule-collection-group show.

   az network firewall policy rule-collection-group show \
       --policy-name fw-policy \
       --resource-group test-rg \
       --name rcg-c
   

   Cette commande renvoie la configuration complète du groupe rcg-cde collection de règles . Recherchez dans la sortie le nom de votre règle (par exemple, app_rule_1) et vérifiez ses propriétés.

Powershell

1. Créez une nouvelle règle d’application en utilisant New-AzFirewallPolicyApplicationRule.

   $rule = New-AzFirewallPolicyApplicationRule `
       -Name "app_rule_1" `
       -SourceAddress "10.0.0.5", "10.0.0.6" `
       -Protocol "Http:80" `
       -TargetFqdn "*.microsoft.com", "*.azure.com"
   

2. Créez les en-têtes HTTP personnalisés en utilisant New-AzFirewallPolicyApplicationRuleCustomHttpHeader, et ajoutez-les à la règle.

   $header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
   $header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   
   $rule.AddCustomHttpHeaderToInsert($header1)
   $rule.AddCustomHttpHeaderToInsert($header2)
   

3. Créez une collection de règles d’application contenant la règle en utilisant New-AzFirewallPolicyFilterRuleCollection.

   $collection = New-AzFirewallPolicyFilterRuleCollection `
       -Name "app_collection_1" `
       -Priority 10003 `
       -Rule @($rule) `
       -ActionType "Allow"
   

4. Créez un groupe de collection de règles contenant la collection de règles en utilisant New-AzFirewallPolicyRuleCollectionGroup.

   New-AzFirewallPolicyRuleCollectionGroup `
       -Name "rcg-c" `
       -FirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Priority 10000 `
       -RuleCollection $collection
   

5. Vérifiez que la règle est créée et que les en-têtes sont correctement configurés en utilisant Get-AzFirewallPolicyRuleCollectionGroup.

   Get-AzFirewallPolicyRuleCollectionGroup `
       -AzureFirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Name "rcg-c"
   

   Cette commande renvoie la configuration complète du groupe rcg-cde collection de règles . Recherchez dans la sortie le nom de votre règle (par exemple, app_rule_1) et vérifiez ses propriétés.

Étapes suivantes

Règles d’application avec des FQDN SQL