Gebruik beheerde identiteiten om te authenticeren aan oorsprongen

Van toepassing op: ✔️ Front Door Standard ✔️ Front Door Premium

Door gebruik te maken van door Microsoft Entra ID beheerde identiteiten, kan uw Azure Front Door Standard of Premium instantie veilig toegang krijgen tot andere door Microsoft Entra beschermde bronnen, zoals Azure Blob Storage, zonder dat u inloggegevens hoeft te beheren. Zie Wat zijn beheerde identiteiten voor Azure-resources voor meer informatie ?

Nadat je managed identity voor Azure Front Door hebt ingeschakeld en de managed identity de benodigde rechten aan je origin hebt gegeven, gebruikt Front Door de managed identity om een toegangstoken van Microsoft Entra ID te krijgen voor toegang tot de opgegeven bron. Nadat het token succesvol is ontvangen, stelt Front Door de waarde van het token in de header in door Authorization het Bearer-schema te gebruiken en stuurt vervolgens het verzoek door naar de oorsprong. Front Door slaat het token in de cache op totdat het verloopt.

Note

Deze functie wordt momenteel niet ondersteund voor Origins met Private Link ingeschakeld in Front Door.

Azure Front Door ondersteunt twee typen beheerde identiteiten:

• Door het systeem toegewezen identiteit: deze identiteit is gekoppeld aan uw service en wordt verwijderd als de service wordt verwijderd. Elke service kan slechts één door het systeem toegewezen identiteit hebben.
• Door de gebruiker toegewezen identiteit: Deze identiteit is een zelfstandige Azure-resource die je aan je dienst kunt toewijzen. Elke service kan meerdere door de gebruiker toegewezen identiteiten hebben.

Beheerde identiteiten zijn specifiek voor de Microsoft Entra-tenant waar uw Azure-abonnement wordt gehost. Als je een abonnement naar een andere map verplaatst, moet je de identiteit opnieuw aanmaken en configureren.

Prerequisites

• Een Azure-account met een actief abonnement. Gratis een account maken

• Een Azure Front Door Standard- of Premium-profiel. Zie Een Azure Front Door maken om een nieuw profiel te maken.

Beheerde identiteit inschakelen

1. Ga naar uw bestaande Azure Front Door-profiel. Selecteer Identiteit onder Beveiliging in het linkermenu.

2. Kies een door het systeem toegewezen of door de gebruiker toegewezen beheerde identiteit.

   • Toegewezen systeem: Een beheerde identiteit die gekoppeld is aan de levenscyclus van het Azure Front Door-profiel.

   • Gebruiker toegewezen: Een zelfstandige beheerde identiteitsbron met een eigen levenscyclus.

   Systeem toegewezen

   1. Schakel de status in op Aan en selecteer Opslaan.

      

   2. Bevestig het maken van een door het systeem beheerde identiteit voor uw Front Door-profiel door Ja te selecteren wanneer hierom wordt gevraagd.

   Gebruiker toegewezen

   Om een door de gebruiker toegewezen beheerde identiteit te gebruiken, moet je er al een hebben aangemaakt. Zie Een door de gebruiker toegewezen beheerde identiteit maken voor instructies over het maken van een nieuwe identiteit.

   1. Selecteer + Toevoegen op het tabblad Toegewezen gebruiker om een door de gebruiker toegewezen beheerde identiteit toe te voegen.

   2. Zoek en selecteer de door de gebruiker toegewezen beheerde identiteit. Selecteer Vervolgens Toevoegen om het toe te voegen aan het Azure Front Door-profiel.

   3. De naam van de geselecteerde door de gebruiker toegewezen beheerde identiteit wordt weergegeven in het Azure Front Door-profiel.

      

Koppel de identiteit aan een oorsprongsgroep

Note

De associatie werkt alleen als alle volgende voorwaarden waar zijn:

• De oorsprongsgroep bevat geen oorsprongen met private link ingeschakeld.
• Het health probe-protocol staat ingesteld op HTTPS onder de instellingen van de origin-groep.
• Het forwarding-protocol staat onder HTTPS Only route-instellingen.
• Het forwarding-protocol staat ingesteld op HTTPS Only als je een Route configuration override actie in regelsets gebruikt.

Waarschuwing

Als je origin-authenticatie gebruikt tussen Azure Front Door en Azure Storage, is de volgorde van stappen om origin-authenticatie in te schakelen erg belangrijk. Als je de juiste volgorde niet volgt, kun je problemen ondervinden.

• Als je een opslagaccount gebruikt met publieke anonieme toegang ingeschakeld, volg dan de stappen in de exacte volgorde: Koppel de identiteit aan een oorsprongsgroep en vervolgens Bied toegang aan de oorsprongsbron. Wanneer je alle stappen hebt voltooid, kun je openbare anonieme toegang uitschakelen zodat alleen toegang tot je opslagaccount vanaf Front Door mogelijk wordt.
• Als je een opslagaccount gebruikt met openbare anonieme toegang uitgeschakeld, volg dan een andere volgorde. Voltooi eerst de stappen voor Toegang bieden aan de oorsprongsbron, waarna je de identiteit koppelt aan een oorsprongsgroep. Begin pas met het verzenden van verkeer via Azure Front Door naar het opslagaccount nadat je alle stappen in de genoemde reeks hebt voltooid.

1. Ga naar je bestaande Azure Front Door-profiel en open de Origin-groepen.

2. Selecteer een bestaande oorsprongsgroep die al oorsprongen heeft geconfigureerd.

3. Schuif omlaag naar de sectie Verificatie .

4. Origin-verificatie inschakelen.

5. Kies tussen door het systeem toegewezen of door de gebruiker toegewezen beheerde identiteit.

6. Voer het juiste bereik in het veld Bereik in. Het veld Scope specificeert de Microsoft Entra-resource (audience) waarvoor Azure Front Door een toegangstoken aanvraagt. Het toegangstoken dat door Microsoft Entra ID wordt uitgegeven, bevat rechten die van toepassing zijn op die doelbron. Als beveiligingsmaatregel ondersteunt Azure Front Door alleen een expliciete toelaatlijst van scopes voor origin-authenticatie. De volgende scopes worden ondersteund. Als je een andere scope specificeert, geeft Azure Front Door een validatiefout en wijst de configuratie af.

   • https://storage.azure.com/.default
   • api://<GUID>/.default(voor aangepaste Microsoft Entra-applicaties, inclusief veelvoorkomende API-beheer- en App Service-scenario's)
   • https://appconfig.azure.com/.default
   • https://appconfig-staging.azure.com/.default

7. Selecteer Bijwerken.

   

Bied toegang bij de oorspronkelijke bron

1. Ga naar de beheerpagina van je oorspronkelijke bron. Als de oorsprong bijvoorbeeld een Azure Blob Storage is, gaat u naar die opslagaccountbeheerpagina.

   Note

   In de volgende stappen wordt ervan uitgegaan dat uw oorsprong een Azure Blob Storage is. Als u een ander resourcetype gebruikt, moet u de juiste functierol selecteren tijdens de roltoewijzing. Anders blijven de stappen hetzelfde voor de meeste resourcetypen.

2. Ga naar de sectie Access Control (IAM) en selecteer Toevoegen. Kies Roltoewijzing toevoegen in de vervolgkeuzelijst.

   

3. Selecteer onder Taakfunctierollen op het tabblad Rollen een juiste rol (bijvoorbeeld Storage Blob Data Reader) in de lijst en selecteer vervolgens Volgende.

   

   Belangrijk

   Bij het verlenen van een identiteit, inclusief een beheerde identiteit, machtigingen voor toegang tot services, verleent u altijd de minste machtigingen die nodig zijn om de gewenste acties uit te voeren. Als bijvoorbeeld een beheerde identiteit wordt gebruikt om gegevens van een opslagaccount te lezen, is het niet nodig om die identiteit ook rechten te geven om data naar het opslagaccount te schrijven. Het verlenen van extra rechten, zoals het maken van de beheerde identiteit als bijdrager van een opslagaccount wanneer deze niet nodig is, kan verzoeken via Azure Front Door in staat stellen voor schrijf- en verwijderingsoperaties.

4. In het tabblad Leden , onder de sectie Toegang toewijzen, kies je Beheerde identiteit en selecteer vervolgens Leden selecteren.

   

5. Het venster Beheerde identiteiten selecteren wordt geopend. Kies het abonnement waar je Front Door zich bevindt. Kies onder het keuzemenu Beheerde identiteitFront Door en CDN-profielen. Kies in de vervolgkeuzelijst Selecteren de beheerde identiteit die voor uw Front Door is gemaakt. Selecteer de knop selecteren onderaan.

6. Selecteer Controleren en toewijzen en selecteer vervolgens Controleren en nogmaals toewijzen nadat de validatie is voltooid.

Beheer en troubleshoot origin-authenticatie

Configuratiefouten oplossen

Als je fouten tegenkomt tijdens de configuratie van de origin-groep, controleer dan dat:

• Het health probe-protocol is ingesteld op HTTPS.
• Het forwardingprotocol voor de route en eventuele routeconfiguratie-override is ingesteld op HTTPS alleen.
• De oorsprongsgroep bevat geen oorsprong die Private Link gebruikt.

Als de oorsprong een toegangsgeweigerd antwoord teruggeeft, verifieer dan dat de beheerde identiteit de vereiste rol heeft op de origin-resource.

Migreren van SAS-tokens

Om downtime te voorkomen wanneer je Azure Storage migreert vanaf shared access signature (SAS) tokens:

1. Schakel een beheerde identiteit in voor je Azure Front Door-profiel.
2. Koppel de beheerde identiteit aan de oorsprongsgroep.
3. Stop met het gebruik van SAS-tokens.

Schakel de oorsprongauthenticatie uit

Om de originauthenticatie uit te schakelen zonder de toegang tot je origin te onderbreken:

1. Configureer de Access Control (IAM) van de origin om verzoeken te accepteren die geen beheerde identiteitsauthenticatie gebruiken.
2. Schakel de origin-authenticatie uit op de origingroep.
3. Wacht tot de configuratiewijziging zich voortplant.
4. Schakel de beheerde identiteit uit of verwijder je.

Aanvullende overwegingen

• Azure Front Door overschrijft een bestaande Authorization header met het origin-authenticatietoken daarvan. Om het clienttoken te behouden, configureer je een regel die de servervariabele {http_req_header_Authorization} gebruikt om het token onder een aparte header te sturen.

  

• Azure Front Door bevat het toegangstoken in de Authorization header voor health probes en eindgebruikersverkeersverzoeken.

• Gebruik aparte beheerde identiteiten voor origin-authenticatie en Azure Front Door-toegang tot Azure Key Vault.

Verwante onderwerpen

• Aanbevelingen voor beste praktijken voor beheerde identiteiten
• Een Azure-rol toewijzen voor toegang tot blobgegevens
• Oorsprong en oorsprongsgroepen
• Routeringsmethoden voor verkeer naar oorsprong