Configura l'inserimento dell'intestazione HTTP in Firewall di Azure

Usa l'inserimento di header HTTP di Firewall di Azure per aggiungere o modificare le header HTTP per il traffico web. Personalizzando le intestazioni, le organizzazioni possono far rispettare politiche di sicurezza, incorporare token di autenticazione e integrarsi con i servizi backend. Questa funzione migliora la sicurezza, aiuta la conformità e ottimizza la gestione del traffico, specialmente per applicazioni che richiedono intestazioni specifiche per l'accesso o l'identificazione. Configura l'inserimento dell'intestazione HTTP per ogni regola applicativa. Quando il traffico corrisponde a una regola applicativa che configuri con inserimento di header HTTP, Firewall di Azure inserisce le header HTTP configurate.

Scenari e limitazioni supportati

La funzione di inserimento di header HTTP è progettata per casi d'uso specifici e presenta determinati vincoli.

Scenari supportati

• Nel Premium SKU, questa funzione supporta il traffico HTTP e il traffico HTTPS che viene decrittato tramite l'ispezione TLS.
• Negli SKU Standard e Basic, questa funzione supporta il traffico HTTP.
• Puoi anche configurare questa funzione utilizzando Firewall di Azure Policy Draft + Deployment.

Limitazioni

Tenere presenti le limitazioni seguenti:

• Non puoi inserire certe intestazioni riservate come intestazioni HTTP personalizzate nelle regole dell'applicazione. La tabella seguente elenca le intestazioni riservate, raggruppate per categoria.
• L'inserimento di intestazioni HTTP può ridurre il numero totale di regole in un gruppo di raccolta di regole, quindi utilizza l'inserimento di intestazioni HTTP con attenzione. Se raggiungi il limite JSON su un gruppo di raccolta regole, crea un nuovo gruppo di raccolta regole e aggiungi le regole lì.

Categoria	Collettori riservati
Generali e connessione	host, connection, content-lengthtransfer-encoding, , upgrade, via, te, ,trailer
Autenticazione e cookie	proxy-authorization, proxy-authenticate, authorization, cookie, set-cookie
Security	content-security-policy, strict-transport-security, x-content-type-options, x-frame-options, referrer-policyx-xss-protection, public-key-pins, , expect-ctx-xsrf-token
Forwarding	x-forwarded-for, x-forwarded-proto, x-forwarded-host, x-forwarded-port, x-forwarded-scheme, forwarded
Other	metadata

Passaggi di configurazione

Le sezioni seguenti forniscono indicazioni passo dopo passo per l'inserimento di header HTTP.

Questi passaggi presuppongono che tu abbia già una Policy Firewall di Azure esistente (fw-policynei seguenti esempi). Se non ne hai uno, consulta Distribuire e configurare Firewall di Azure Policy.

Note

Esegui gli stessi passaggi per il traffico HTTPS che ha abilitato l'ispezione TLS. I nomi delle intestazioni possono contenere fino a 100 caratteri. I valori dell'intestazione possono contenere fino a 16K (16.000) caratteri. La lunghezza massima totale delle intestazioni HTTP (somma di tutti i nomi e valori dell'intestazione HTTP) consentite in ogni regola applicativa è di 16KB (16.384 byte).

Portal

1. Nel portale Azure, vai a una policy firewall esistente o creane una nuova.

2. Seleziona Regole, poi seleziona Regole di applicazione.

3. Crea una nuova regola applicativa o modifica una già esistente.

4. Nel pannello di configurazione delle regole, individua la sezione Inserimento dell'intestazione HTTP.

5. Aggiungi le intestazioni richieste specificando il nome e il valore dell'intestazione. Puoi aggiungere più header se necessario.

   

6. Salva la regola.

7. Per verificare che le intestazioni siano configurate correttamente, riapri la regola e conferma che la sezione Inserimento Intestazione HTTP mostri i nomi e i valori delle intestazioni che hai aggiunto.

CLI

1. Accedi al tuo account Azure eseguendo il comando az-login.

2. Crea un gruppo di raccolte di regole usando az network firewall policy rule-collection-group create.

   az network firewall policy rule-collection-group create \
       --name rcg-c \
       --policy-name fw-policy \
       --resource-group test-rg \
       --priority 10000
   

3. Aggiungi una raccolta di regole che contenga una regola di applicazione con un'intestazione HTTP personalizzata usando az network firewall policy rule-collection-group collection add-filter-collection.

   az network firewall policy rule-collection-group collection add-filter-collection \
       --policy-name "fw-policy" \
       --resource-group "test-rg" \
       --rcg-name "rcg-c" \
       --name "app_collection_1" \
       --collection-priority 10003 \
       --action Allow \
       --rule-name "app_rule_1" \
       --rule-type ApplicationRule \
       --target-fqdns "*.microsoft.com" "*.azure.com" \
       --source-addresses "10.0.0.5" "10.0.0.6" \
       --protocols Http=80 \
       --description "Allow access to Microsoft and Azure domains with header insertion" \
       --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"
   

4. Verificare che la regola sia stata creata e che gli header siano configurati correttamente usando az network firewall policy rule-collection-group show.

   az network firewall policy rule-collection-group show \
       --policy-name fw-policy \
       --resource-group test-rg \
       --name rcg-c
   

   Questo comando restituisce la configurazione completa del gruppo rcg-cdi raccolta regole . Cerca nell'output il nome della tua regola (ad esempio, app_rule_1) e verificane le proprietà.

PowerShell

1. Crea una nuova regola applicativa utilizzando New-AzFirewallPolicyApplicationRule.

   $rule = New-AzFirewallPolicyApplicationRule `
       -Name "app_rule_1" `
       -SourceAddress "10.0.0.5", "10.0.0.6" `
       -Protocol "Http:80" `
       -TargetFqdn "*.microsoft.com", "*.azure.com"
   

2. Crea le intestazioni HTTP personalizzate usando New-AzFirewallPolicyApplicationRuleCustomHttpHeader e aggiungile alla regola.

   $header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
   $header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   
   $rule.AddCustomHttpHeaderToInsert($header1)
   $rule.AddCustomHttpHeaderToInsert($header2)
   

3. Crea una collezione di regole applicative che contenga la regola utilizzando New-AzFirewallPolicyFilterRuleCollection.

   $collection = New-AzFirewallPolicyFilterRuleCollection `
       -Name "app_collection_1" `
       -Priority 10003 `
       -Rule @($rule) `
       -ActionType "Allow"
   

4. Crea un gruppo di raccolta regole che contenga la collezione di regole utilizzando New-AzFirewallPolicyRuleCollectionGroup.

   New-AzFirewallPolicyRuleCollectionGroup `
       -Name "rcg-c" `
       -FirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Priority 10000 `
       -RuleCollection $collection
   

5. Verifica che la regola sia stata creata e che gli header siano configurati correttamente verificando con Get-AzFirewallPolicyRuleCollectionGroup.

   Get-AzFirewallPolicyRuleCollectionGroup `
       -AzureFirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Name "rcg-c"
   

   Questo comando restituisce la configurazione completa del gruppo rcg-cdi raccolta regole . Cerca nell'output il nome della tua regola (ad esempio, app_rule_1) e verificane le proprietà.

Passaggi successivi

Regole applicative con FQDN SQL