Configurar inserção de cabeçalho HTTP no Firewall do Azure

Use a inserção de cabeçalhos HTTP do Firewall do Azure para adicionar ou modificar cabeçalhos HTTP para tráfego web. Ao personalizar cabeçalhos, as organizações podem aplicar políticas de segurança, incorporar tokens de autenticação e integrar com serviços de backend. Esse recurso melhora a segurança, auxilia na conformidade e otimiza o gerenciamento de tráfego, especialmente para aplicações que exigem cabeçalhos específicos para acesso ou identificação. Configure a inserção de cabeçalhos HTTP conforme a regra da aplicação. Quando o tráfego corresponde a uma regra de aplicação configurada com inserção de cabeçalhos HTTP, o Firewall do Azure insere os cabeçalhos HTTP configurados.

Cenários e limitações com suporte

O recurso de inserção de cabeçalhos HTTP é projetado para casos de uso específicos e possui certas restrições.

Cenários com suporte

• No SKU Premium, esse recurso suporta tráfego HTTP e tráfego HTTPS que é descriptografado usando inspeção TLS.
• Nos SKUs Standard e Basic, esse recurso suporta tráfego HTTP.
• Você também pode configurar esse recurso usando o Firewall do Azure Policy Draft + Deployment.

Limitations

Tenha em mente as seguintes limitações:

• Você não pode inserir certos cabeçalhos reservados como cabeçalhos HTTP personalizados nas regras da aplicação. A tabela a seguir lista os cabeçalhos reservados, agrupados por categoria.
• Inserir cabeçalhos HTTP pode reduzir o número total de regras em um grupo de coleta de regras, então use a inserção de cabeçalhos HTTP com cuidado. Se você atingir o limite JSON em um grupo de coleta de regras, crie um novo grupo de coleta de regras e adicione regras lá.

Categoria	Cabeçalhos reservados
Geral e conexão	host, connection, content-length, transfer-encoding, upgrade, via, te, , trailer
Autenticação e cookies	proxy-authorization, proxy-authenticate, authorization, cookie, set-cookie
Segurança	content-security-policy, strict-transport-security, x-content-type-options, x-frame-options, , referrer-policy, x-xss-protection, public-key-pins, , expect-ctx-xsrf-token
Forwarding	x-forwarded-for, x-forwarded-proto, x-forwarded-host, x-forwarded-port, x-forwarded-scheme, forwarded
Other	metadata

Etapas de configuração

As seções a seguir fornecem orientações passo a passo para a inserção de cabeçalhos HTTP.

Esses passos assumem que você já possui uma Política de Firewall do Azure existente (fw-policynos exemplos a seguir). Se você não tiver uma, veja Implantar e configurar a Política do Firewall do Azure.

Note

Execute os mesmos passos para tráfego HTTPS que tenha a inspeção TLS ativada. Nomes de cabeçalhos podem conter até 100 caracteres. Os valores do cabeçalho podem conter até 16K (16.000) caracteres. O comprimento máximo total dos cabeçalhos HTTP (soma de todos os nomes e valores do cabeçalho HTTP do HTTP) permitidos em cada Regra de Aplicação é de 16KB (16.384 bytes).

Portal

1. No portal do Azure, acesse uma política de firewall existente ou crie uma nova.

2. Selecione Regras e depois selecione Regras de Aplicação.

3. Crie uma nova regra de aplicação ou edite uma existente.

4. No painel de configuração de regras, localize a seção Inserção de Cabeçalho HTTP.

5. Adicione os cabeçalhos necessários especificando o nome e o valor do cabeçalho. Você pode adicionar vários cabeçalhos conforme necessário.

   

6. Salve a regra.

7. Para verificar se os cabeçalhos estão configurados corretamente, reabra a regra e confirme que a seção de Inserção de Cabeçalhos HTTP mostra os nomes e valores dos cabeçalhos que você adicionou.

CLI

1. Faça login na sua conta do Azure executando o comando azlogin.

2. Crie um grupo de coleções de regras usando az network firewall policy rule-collection-group create.

   az network firewall policy rule-collection-group create \
       --name rcg-c \
       --policy-name fw-policy \
       --resource-group test-rg \
       --priority 10000
   

3. Adicione uma coleção de regras que contenha uma regra de aplicativo com um cabeçalho HTTP personalizado com az network firewall policy rule-collection-group collection add-filter-collection.

   az network firewall policy rule-collection-group collection add-filter-collection \
       --policy-name "fw-policy" \
       --resource-group "test-rg" \
       --rcg-name "rcg-c" \
       --name "app_collection_1" \
       --collection-priority 10003 \
       --action Allow \
       --rule-name "app_rule_1" \
       --rule-type ApplicationRule \
       --target-fqdns "*.microsoft.com" "*.azure.com" \
       --source-addresses "10.0.0.5" "10.0.0.6" \
       --protocols Http=80 \
       --description "Allow access to Microsoft and Azure domains with header insertion" \
       --http-headers-to-insert "Restrict-Access-To-Tenants=contoso.com,fabrikam.onmicrosoft.com" "Restrict-Access-Context=aaaabbbb-0000-cccc-1111-dddd2222eeee"
   

4. Verifique se a regra foi criada e se os cabeçalhos estão configurados corretamente usando az network firewall policy rule-collection-group show.

   az network firewall policy rule-collection-group show \
       --policy-name fw-policy \
       --resource-group test-rg \
       --name rcg-c
   

   Esse comando retorna a configuração completa do grupo rcg-cde coleção de regras . Pesquise no resultado o nome da sua regra (por exemplo, app_rule_1) e verifique suas propriedades.

PowerShell

1. Crie uma nova regra de aplicação usando New-AzFirewallPolicyApplicationRule.

   $rule = New-AzFirewallPolicyApplicationRule `
       -Name "app_rule_1" `
       -SourceAddress "10.0.0.5", "10.0.0.6" `
       -Protocol "Http:80" `
       -TargetFqdn "*.microsoft.com", "*.azure.com"
   

2. Crie os cabeçalhos HTTP personalizados usando New-AzFirewallPolicyApplicationRuleCustomHttpHeader e adicione-os à regra.

   $header1 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-To-Tenants" -HeaderValue "contoso.com,fabrikam.onmicrosoft.com"
   $header2 = New-AzFirewallPolicyApplicationRuleCustomHttpHeader -HeaderName "Restrict-Access-Context" -HeaderValue "aaaabbbb-0000-cccc-1111-dddd2222eeee"
   
   $rule.AddCustomHttpHeaderToInsert($header1)
   $rule.AddCustomHttpHeaderToInsert($header2)
   

3. Crie uma coleção de regras de aplicação que contenha a regra usando New-AzFirewallPolicyFilterRuleCollection.

   $collection = New-AzFirewallPolicyFilterRuleCollection `
       -Name "app_collection_1" `
       -Priority 10003 `
       -Rule @($rule) `
       -ActionType "Allow"
   

4. Crie um grupo de coleta de regras que contenha a coleção de regras usando New-AzFirewallPolicyRuleCollectionGroup.

   New-AzFirewallPolicyRuleCollectionGroup `
       -Name "rcg-c" `
       -FirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Priority 10000 `
       -RuleCollection $collection
   

5. Verifique se a regra foi criada e os cabeçalhos estão configurados corretamente usando Get-AzFirewallPolicyRuleCollectionGroup.

   Get-AzFirewallPolicyRuleCollectionGroup `
       -AzureFirewallPolicyName "fw-policy" `
       -ResourceGroupName "test-rg" `
       -Name "rcg-c"
   

   Esse comando retorna a configuração completa do grupo rcg-cde coleção de regras . Pesquise no resultado o nome da sua regra (por exemplo, app_rule_1) e verifique suas propriedades.

Próximas Etapas 

Regras de aplicação com FQDNs SQL