Ağ Güvenlik Grupları ile Azure Container Apps'te özel bir sanal ağın güvenliğini sağlama

Sanal ağları yapılandırmak için gereken Ağ Güvenlik Grupları (NSG) Kubernetes'in gerektirdiği ayarlara benzer.

Kapsayıcı Uygulamaları ortamına yönelik tüm gelen ve giden trafiği abonelik düzeyinde denetlemek için varsayılan NSG kurallarından daha kısıtlayıcı kurallarla NSG'ler aracılığıyla ağı kilitleyebilirsiniz.

İş yükü profilleri ortamında, kullanıcı tanımlı yollar (UDR) ve giden trafiği güvenlik duvarıyla güvenli hale getirme desteklenir. Dış iş yükü profilleri ortamı kullanılırken Azure Container Apps'e gelen trafik, alt ağınız yerine yönetilen kaynak grubunda bulunan genel IP üzerinden yönlendirilir. Bu, dış iş yükü profilleri ortamında NSG veya Güvenlik Duvarı aracılığıyla gelen trafiği kilitlemenin desteklenmediğini gösterir. Daha fazla bilgi için bkz . Azure Container Apps ortamlarında ağ oluşturma.

Yalnızca tüketim ortamında, özel kullanıcı tanımlı yollar (UDR) ve ExpressRoutes desteklenmez.

NSG izin verme kuralları

Aşağıdaki tablolarda NSG izin verme kuralları koleksiyonunun nasıl yapılandırıldığı açıklanmaktadır. Gereken belirli kurallar ortamınızın türüne bağlıdır.

Gelen

İş yükü profilleri ortamı

Not

İş yükü profillerini kullanırken, gelen NSG kuralları yalnızca sanal ağınızdan geçen trafik için geçerlidir. Kapsayıcı uygulamalarınız genel İnternet'ten gelen trafiği kabul etmek üzere ayarlandıysa, gelen trafik sanal ağ yerine genel uç noktadan geçer.

Protokol	Kaynak	Kaynak bağlantı noktaları	Hedef	Hedef bağlantı noktaları	Açıklama
TCP	İstemci IP'leriniz	*	Kapsayıcı uygulamanızın alt ağı1	80, 31080	HTTP kullanırken İstemci IP'lerinizin Azure Container Apps'e erişmesine izin verin. 31080 , Container Apps Ortam Edge Proxy'sinin HTTP trafiğine yanıt verdiği bağlantı noktasıdır. İç yük dengeleyicinin arkasındadır.
TCP	İstemci IP'leriniz	*	Kapsayıcı uygulamanızın alt ağı1	443, 31443	HTTPS kullanırken İstemci IP'lerinizin Azure Container Apps'e erişmesine izin verin. 31443 , Container Apps Ortam Edge Proxy'sinin HTTPS trafiğine yanıt verdiği bağlantı noktasıdır. İç yük dengeleyicinin arkasındadır.
TCP	AzureLoadBalancer	*	Kapsayıcı uygulamanızın alt ağı	30000-327672	Azure Load Balancer'ın arka uç havuzlarını yoklamasına izin verin.

Yalnızca tüketim ortamı

Protokol	Kaynak	Kaynak bağlantı noktaları	Hedef	Hedef bağlantı noktaları	Açıklama
TCP	İstemci IP'leriniz	*	Kapsayıcı uygulamanızın alt ağı1	80, 443	İstemci IP'lerinizin Azure Container Apps'e erişmesine izin verin. HTTP ve 443 HTTPS için bağlantı noktasını 80 kullanın.
TCP	İstemci IP'leriniz	*	staticIP Kapsayıcı uygulama ortamınızın	80, 443	İstemci IP'lerinizin Azure Container Apps'e erişmesine izin verin. HTTP ve 443 HTTPS için bağlantı noktasını 80 kullanın.
TCP	AzureLoadBalancer	*	Kapsayıcı uygulamanızın alt ağı	30000-327672	Azure Load Balancer'ın arka uç havuzlarını yoklamasına izin verin.
TCP	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulama elçisi sepetlerinin elçi hizmetine bağlanmasına izin vermek için gereklidir.

¹ Bu adres, ortam oluşturduğunuzda parametre olarak geçirilir. Örneğin, 10.0.0.0/21.
² Azure Container Apps'inizi oluştururken, aralık içinde dinamik olarak ayrılacak bir bağlantı noktası olarak tam aralık gereklidir. Oluşturulduktan sonra gerekli bağlantı noktaları sabit, statik iki değerdir ve NSG kurallarınızı güncelleştirebilirsiniz.

Giden

İş yükü profilleri ortamı

Protokol	Kaynak	Kaynak bağlantı noktaları	Hedef	Hedef bağlantı noktaları	Açıklama
TCP	Kapsayıcı uygulamanızın alt ağı	*	MicrosoftContainerRegistry	443	Bu, sistem kapsayıcıları için Microsoft kapsayıcı kayıt defteri hizmet etiketidir.
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureFrontDoor.FirstParty	443	Bu, hizmet etiketinin MicrosoftContainerRegistry bağımlılığıdır.
Tümü	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulamanızın alt ağındaki IP'ler arasında iletişime izin verin.
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureActiveDirectory	443	Yönetilen kimlik kullanıyorsanız bu gereklidir.
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureMonitor	443	Yalnızca Azure İzleyici kullanılırken gereklidir. Azure İzleyici'ye giden çağrılara izin verir.
TCP ve UDP	Kapsayıcı uygulamanızın alt ağı	*	168.63.129.16	53	Ortamın ana bilgisayar adını çözümlemek için Azure DNS kullanmasını sağlar.
TCP	Kapsayıcı uygulamanızın alt ağı1	*	Kapsayıcı Kayıt Defteriniz	Kapsayıcı kayıt defterinizin bağlantı noktası	Kapsayıcı kayıt defterinizle iletişim kurmak için bu gereklidir. Örneğin, ACR kullanırken hedef için ve AzureActiveDirectory gerekir AzureContainerRegistry ve özel uç noktaları kullanmadığınız sürece bağlantı noktası kapsayıcı kayıt defterinizin bağlantı noktası olur.2
TCP	Kapsayıcı uygulamanızın alt ağı	*	Storage.<Region>	443	Yalnızca görüntülerinizi barındırmak için kullanılırken Azure Container Registry gereklidir.

Yalnızca tüketim ortamı

Not

Yalnızca Tüketim ortamlarını kullanırken, kapsayıcı uygulamanız için Azure Kubernetes Service tarafından gereken tüm giden bağlantı noktaları da gereklidir.

Protokol	Kaynak	Kaynak bağlantı noktaları	Hedef	Hedef bağlantı noktaları	Açıklama
TCP	Kapsayıcı uygulamanızın alt ağı	*	MicrosoftContainerRegistry	443	Bu, sistem kapsayıcıları için Microsoft kapsayıcı kayıt defteri hizmet etiketidir.
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureFrontDoor.FirstParty	443	Bu, hizmet etiketinin MicrosoftContainerRegistry bağımlılığıdır.
UDP	Kapsayıcı uygulamanızın alt ağı	*	AzureCloud.<REGION>	1194	Temel düğümler ve kontrol düzlemi arasındaki iç AKS güvenli bağlantısı için gereklidir. değerini kapsayıcı uygulamanızın dağıtıldığı bölgeyle değiştirin <REGION> .
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureCloud.<REGION>	9000	Temel düğümler ve kontrol düzlemi arasındaki iç AKS güvenli bağlantısı için gereklidir. değerini kapsayıcı uygulamanızın dağıtıldığı bölgeyle değiştirin <REGION> .
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureCloud	443	Bağlantı noktasında 443 tüm gidenlere izin vermek, statik IP'ye sahip olmayan tüm FQDN tabanlı giden bağımlılıklarına izin vermek için bir yol sağlar.
UDP	Kapsayıcı uygulamanızın alt ağı	*	*	123	NTP sunucusu.
Tümü	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulamanızın alt ağı	*	Kapsayıcı uygulamanızın alt ağındaki IP'ler arasında iletişime izin verin.
TCP ve UDP	Kapsayıcı uygulamanızın alt ağı	*	168.63.129.16	53	Ortamın ana bilgisayar adını çözümlemek için Azure DNS kullanmasını sağlar.
TCP	Kapsayıcı uygulamanızın alt ağı1	*	Kapsayıcı Kayıt Defteriniz	Kapsayıcı kayıt defterinizin bağlantı noktası	Kapsayıcı kayıt defterinizle iletişim kurmak için bu gereklidir. Örneğin, ACR kullanırken hedef için ve AzureActiveDirectory gerekir AzureContainerRegistry ve özel uç noktaları kullanmadığınız sürece bağlantı noktası kapsayıcı kayıt defterinizin bağlantı noktası olur.2
TCP	Kapsayıcı uygulamanızın alt ağı	*	Storage.<Region>	443	Yalnızca görüntülerinizi barındırmak için kullanılırken Azure Container Registry gereklidir.
TCP	Kapsayıcı uygulamanızın alt ağı	*	AzureMonitor	443	Yalnızca Azure İzleyici kullanılırken gereklidir. Azure İzleyici'ye giden çağrılara izin verir.

¹ Bu adres, ortam oluşturduğunuzda parametre olarak geçirilir. Örneğin, 10.0.0.0/21.
² Sanal ağınızda yapılandırılmış NSG'lerle Azure Container Registry (ACR) kullanıyorsanız, Azure Container Apps'in sanal ağ üzerinden görüntü çekmesine izin vermek için ACR'nizde özel bir uç nokta oluşturun. Özel uç noktalarla yapılandırıldığında ACR için NSG kuralı eklemeniz gerekmez.

Dikkat edilmesi gereken noktalar

• HTTP sunucuları çalıştırıyorsanız ve 443bağlantı noktaları 80 eklemeniz gerekebilir.
• Giden NSG kurallarında Azure DNS adresini 168.63.128.16 açıkça reddetmezseniz Container Apps ortamınız çalışmaz.