適用於 Azure App Service 的 Azure 原則內建定義
此頁面是 Azure App 服務 Azure 原則 內建原則定義的索引。 如需其他服務的其他內建 Azure 原則，請參閱 Azure 原則內建定義。
連結至 Azure 入口網站中原則定義的每個內建原則定義名稱。 使用 [版本] 資料行中的連結來查看 Azure 原則 GitHub 存放庫上的來源。
Azure App Service
| 名稱 (Azure 入口網站) |
描述 | 效果 | 版本 (GitHub) |
|---|---|---|---|
| [預覽]： App Service 方案應該是區域備援 | App Service 方案可以設定為區域備援。 當 App Service 方案的 'zoneRedundant' 屬性設定為 'false' 時，它不會針對區域備援進行設定。 此原則會識別並強制執行App Service方案的區域備援設定。 | Audit, Deny, Disabled | 1.0.0-preview |
| 應將 App Service 應用程式插槽插入虛擬網路中 | 在虛擬網路中插入App Service Apps 可解除鎖定進階App Service網路和安全性功能，並讓您更充分掌控網路安全性設定。 深入了解：https://docs.microsoft.com/azure/app-service/web-sites-integrate-with-vnet。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 應用程式插槽應停用公用網路存取 | 停用公用網路存取可藉由確保App Service 不會公開在公用因特網上來改善安全性。 建立私人端點可以限制App Service的曝光。 深入了解：https://aka.ms/app-service-private-endpoint。 | 稽核、停用、拒絕 | 1.0.0 |
| App Service 應用程式位置應啟用路由至 Azure 虛擬網路的設定 | 根據預設，提取容器映像和掛接內容記憶體等應用程式組態將不會透過區域虛擬網路整合路由傳送。 使用 API 將路由選項設定為 true 可讓設定流量透過 Azure 虛擬網絡。 這些設定允許網路安全組和使用者定義路由等功能，以及將服務端點設為私人。 如需詳細資訊，請瀏覽 https://aka.ms/appservice-vnet-configuration-routing。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 應用程式插槽應為 Azure 虛擬網路啟用輸出非 RFC 1918 流量 | 根據預設，如果一個應用程式使用區域 Azure 虛擬網絡 （VNET） 整合，則應用程式只會將RFC1918流量路由傳送至該個別虛擬網路。 使用 API 將 'vnetRouteAllEnabled' 設定為 true 可讓所有輸出流量進入 Azure 虛擬網絡。 此設定可讓網路安全組和使用者定義路由等功能用於來自App Service 應用程式的所有輸出流量。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 應用程式位置應該已啟用用戶端憑證（傳入客戶端憑證） | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 Http 版本設定為 1.1 的應用程式。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式位置應停用 FTP 部署的本機驗證方法 | 停用 FTP 部署的本機驗證方法可藉由確保 App Service 位置完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | AuditIfNotExists, Disabled | 1.0.3 |
| App Service 應用程式位置應停用 SCM 網站部署的本機驗證方法 | 停用 SCM 網站的本機驗證方法可藉由確保 App Service 位置完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | AuditIfNotExists, Disabled | 1.0.4 |
| App Service 應用程式插槽應關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 1.0.1 |
| App Service 應用程式插槽應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式位置不應設定 CORS 以允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式位置應只能透過 HTTPS 來存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 2.0.0 |
| App Service 應用程式插槽應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式插槽應為其內容目錄使用 Azure 檔案共用 | 應用程式的內容目錄應該位於 Azure 檔案共用上。 檔案共用的記憶體帳戶信息必須在任何發佈活動之前提供。 若要深入瞭解如何使用 Azure 檔案儲存體 裝載 App Service 內容，https://go.microsoft.com/fwlink/?linkid=2151594請參閱 。 | Audit, Disabled | 1.0.0 |
| App Service 應用程式插槽應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式插槽應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式插槽應使用最新版的 TLS | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 1.0.0 |
| 使用 Java 的 App Service 應用程式插槽應使用指定的「Java 版本」 | Java 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議針對 App Service 應用程式使用最新的 Java 版本，以利用最新版的安全性修正和/或新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Java 版本。 | AuditIfNotExists, Disabled | 1.0.0 |
| 使用 PHP 的 App Service 應用程式插槽應使用指定的「PHP 版本」 | PHP 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議對 App Service 應用程式使用最新的 PHP 版本，以充分運用最新版本的安全性修正程式 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 PHP 版本。 | AuditIfNotExists, Disabled | 1.0.0 |
| 使用 Python 的 App Service 應用程式插槽應使用指定的「Python 版本」 | Python 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議對 App Service 應用程式使用最新的 Python 版本，以充分運用最新版本的安全性修正程式 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Python 版本。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應插入虛擬網路中 | 在虛擬網路中插入App Service Apps 可解除鎖定進階App Service網路和安全性功能，並讓您更充分掌控網路安全性設定。 深入了解：https://docs.microsoft.com/azure/app-service/web-sites-integrate-with-vnet。 | Audit, Deny, Disabled | 3.0.0 |
| App Service 應用程式應停用公用網路存取 | 停用公用網路存取可藉由確保App Service 不會公開在公用因特網上來改善安全性。 建立私人端點可以限制App Service的曝光。 深入了解：https://aka.ms/app-service-private-endpoint。 | 稽核、停用、拒絕 | 1.1.0 |
| App Service 應用程式應啟用路由至 Azure 虛擬網路的設定 | 根據預設，提取容器映像和掛接內容記憶體等應用程式組態將不會透過區域虛擬網路整合路由傳送。 使用 API 將路由選項設定為 true 可讓設定流量透過 Azure 虛擬網絡。 這些設定允許網路安全組和使用者定義路由等功能，以及將服務端點設為私人。 如需詳細資訊，請瀏覽 https://aka.ms/appservice-vnet-configuration-routing。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 應用程式應為 Azure 虛擬網路啟用輸出非 RFC 1918 流量 | 根據預設，如果一個應用程式使用區域 Azure 虛擬網絡 （VNET） 整合，則應用程式只會將RFC1918流量路由傳送至該個別虛擬網路。 使用 API 將 'vnetRouteAllEnabled' 設定為 true 可讓所有輸出流量進入 Azure 虛擬網絡。 此設定可讓網路安全組和使用者定義路由等功能用於來自App Service 應用程式的所有輸出流量。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 應用程式應啟用驗證 | Azure App Service 驗證這項功能可以防止匿名 HTTP 要求送達 Web 應用程式，也可以在擁有權杖的要求送達 Web 應用程式前予以驗證。 | AuditIfNotExists, Disabled | 2.0.1 |
| App Service 應用程式應啟用「用戶端憑證 (傳入用戶端憑證)」 | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 Http 版本設定為 1.1 的應用程式。 | AuditIfNotExists, Disabled | 1.0.0 |
| App Service 應用程式應停用 FTP 部署的本機驗證方法 | 停用 FTP 部署的本機驗證方法可藉由確保 App Services 完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | AuditIfNotExists, Disabled | 1.0.3 |
| App Service 應用程式應停用 SCM 月臺部署的本機驗證方法 | 停用 SCM 網站的本機驗證方法可藉由確保 App Services 完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | AuditIfNotExists, Disabled | 1.0.3 |
| App Service 應用程式應關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| App Service 應用程式應啟用資源記錄 | 稽核應用程式上資源記錄的啟用。 如果發生安全性事件或網路遭到損害，這可讓您重新建立活動線索供調查之用。 | AuditIfNotExists, Disabled | 2.0.1 |
| App Service 應用程式不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取您的應用程式。 僅允許必要的網域與您的應用程式互動即可。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應該僅限透過 HTTPS 來存取 App Service 應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 4.0.0 |
| App Service 應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| App Service應用程式應使用支援私人連結的 SKU | 透過支援的 SKU，Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要來源或目的地上的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至應用程式，您可以降低數據外泄風險。 深入了解私人連結：https://aka.ms/private-link。 | Audit, Deny, Disabled | 4.1.0 |
| App Service 應用程式應使用虛擬網路服務端點 | 使用虛擬網路服務端點來限制從 Azure 虛擬網路選取的子網存取您的應用程式。 若要深入瞭解 App Service 服務端點，請流覽 https://aka.ms/appservice-vnet-service-endpoint。 | AuditIfNotExists, Disabled | 2.0.1 |
| App Service 應用程式應為其內容目錄使用 Azure 檔案共用 | 應用程式的內容目錄應該位於 Azure 檔案共用上。 檔案共用的記憶體帳戶信息必須在任何發佈活動之前提供。 若要深入瞭解如何使用 Azure 檔案儲存體 來裝載 App Service 內容，https://go.microsoft.com/fwlink/?linkid=2151594請參閱 。 | Audit, Disabled | 3.0.0 |
| App Service 應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| App Service 應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| App Service 應用程式應該使用私人連結 | Azure Private Link 可讓您將虛擬網路連線到 Azure 服務，而不需要在來源或目的地的公用 IP 位址。 Private Link 平台會透過 Azure 骨幹網路處理取用者與服務之間的連線。 藉由將私人端點對應至 App Service，您可以降低數據外泄風險。 深入了解私人連結：https://aka.ms/private-link。 | AuditIfNotExists, Disabled | 1.0.1 |
| App Service 應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.0.1 |
| 使用 Java 的 App Service 應用程式應使用指定的「Java 版本」 | Java 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議針對 App Service 應用程式使用最新的 Java 版本，以利用最新版的安全性修正和/或新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Java 版本。 | AuditIfNotExists, Disabled | 3.1.0 |
| 使用 PHP 的 App Service 應用程式應使用指定的「PHP 版本」 | PHP 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議對 App Service 應用程式使用最新的 PHP 版本，以充分運用最新版本的安全性修正程式 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 PHP 版本。 | AuditIfNotExists, Disabled | 3.2.0 |
| 使用 Python 的 App Service 應用程式應使用指定的「Python 版本」 | Python 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議對 App Service 應用程式使用最新的 Python 版本，以充分運用最新版本的安全性修正程式 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Python 版本。 | AuditIfNotExists, Disabled | 4.1.0 |
| App Service 環境應用程式不應能透過公用網際網路連線 | 為了確保部署在 App Service 環境 中的應用程式無法透過公用因特網存取，應該部署 App Service 環境 虛擬網路中的 IP 位址。 若要將IP位址設定為虛擬網路IP，必須使用內部負載平衡器來部署 App Service 環境。 | Audit, Deny, Disabled | 3.0.0 |
| App Service 環境 應設定最強的 TLS 加密套件 | App Service 環境 正常運作所需的兩個最最小和最強的加密套件為 ：TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384 和 TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256。 | Audit, Disabled | 1.0.0 |
| 應使用最新版本布建 App Service 環境 | 只允許布建 App Service 環境 第 2 版或第 3 版。 舊版的 App Service 環境 需要手動管理 Azure 資源，而且有更大的調整限制。 | Audit, Deny, Disabled | 1.0.0 |
| App Service 環境應啟用內部加密 | 將 InternalEncryption 設定為 True，會讓 App Service 環境中前端與背景工作角色之間的分頁檔、背景工作角色磁碟和內部網路流量加密。 若要深入了解，請參閱 https://docs.microsoft.com/azure/app-service/environment/app-service-app-service-environment-custom-settings#enable-internal-encryption。 | Audit, Disabled | 1.0.1 |
| App Service 環境 應停用 TLS 1.0 和 1.1 | TLS 1.0 和 1.1 是不支援新式密碼編譯演算法的過時通訊協定。 停用輸入 TLS 1.0 和 1.1 流量有助於保護 App Service 環境 中的應用程式。 | Audit, Deny, Disabled | 2.0.1 |
| 設定 App Service 應用程式位置以停用 FTP 部署的本機驗證 | 停用 FTP 部署的本機驗證方法可藉由確保 App Service 位置完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | DeployIfNotExists, Disabled | 1.0.3 |
| 設定 App Service 應用程式位置以停用 SCM 網站的本機驗證 | 停用 SCM 網站的本機驗證方法可藉由確保 App Service 位置完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | DeployIfNotExists, Disabled | 1.0.3 |
| 設定 App Service 應用程式插槽以停用公用網路存取 | 停用 App Services 的公用網路存取，使其無法透過公用因特網存取。 這可降低資料洩漏風險。 深入了解：https://aka.ms/app-service-private-endpoint。 | 修改、停用 | 1.1.0 |
| 將 App Service 應用程式位置設定為只能透過 HTTPS 存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 修改、停用 | 2.0.0 |
| 設定 App Service 應用程式插槽以關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | DeployIfNotExists, Disabled | 1.1.0 |
| 將 App Service 應用程式插槽設定為使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | DeployIfNotExists, Disabled | 1.1.0 |
| 設定 App Service 應用程式以停用 FTP 部署的本機驗證 | 停用 FTP 部署的本機驗證方法可藉由確保 App Services 完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | DeployIfNotExists, Disabled | 1.0.3 |
| 設定 App Service 應用程式以停用 SCM 網站的本機驗證 | 停用 SCM 網站的本機驗證方法可藉由確保 App Services 完全要求 Microsoft Entra 身分識別進行驗證，以改善安全性。 深入了解：https://aka.ms/app-service-disable-basic-auth。 | DeployIfNotExists, Disabled | 1.0.3 |
| 設定 App Service 應用程式以停用公用網路存取 | 停用 App Services 的公用網路存取，使其無法透過公用因特網存取。 這可降低資料洩漏風險。 深入了解：https://aka.ms/app-service-private-endpoint。 | 修改、停用 | 1.1.0 |
| 將 App Service 應用程式設定為只能透過 HTTPS 存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 修改、停用 | 2.0.0 |
| 將 App Service 應用程式設定為關閉遠端偵錯 | 遠端偵錯需要在 App Service 應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | DeployIfNotExists, Disabled | 1.0.0 |
| 將 App Service 應用程式設定為使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對 App Service 應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | DeployIfNotExists, Disabled | 1.0.1 |
| 設定函數應用程式插槽以停用公用網路存取 | 停用函式應用程式的公用網路存取，使其無法透過公用因特網存取。 這可降低資料洩漏風險。 深入了解：https://aka.ms/app-service-private-endpoint。 | 修改、停用 | 1.1.0 |
| 將函數應用程式插槽設定為只能經由 HTTPS 存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 修改、停用 | 2.0.0 |
| 設定函數應用程式插槽以關閉遠端偵錯 | 遠端偵錯需要在函式應用程式上開啟輸入埠。 應關閉遠端偵錯。 | DeployIfNotExists, Disabled | 1.1.0 |
| 將函數應用程式插槽設定為使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | DeployIfNotExists, Disabled | 1.1.0 |
| 設定函數應用程式以停用公用網路存取 | 停用函式應用程式的公用網路存取，使其無法透過公用因特網存取。 這可降低資料洩漏風險。 深入了解：https://aka.ms/app-service-private-endpoint。 | 修改、停用 | 1.1.0 |
| 將函數應用程式設定為只能經由 HTTPS 存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 修改、停用 | 2.0.0 |
| 將函數應用程式設定為關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | DeployIfNotExists, Disabled | 1.0.0 |
| 將函數應用程式設定為使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | DeployIfNotExists, Disabled | 1.0.1 |
| 針對 App Service 啟用依類別群組的記錄功能（microsoft.web/sites） 至 Log Analytics | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並讓您查看和深入解析已發生的任何變更。 此原則會使用類別群組來部署診斷設定，以將記錄路由傳送至 App Service 的 Log Analytics 工作區（microsoft.web/sites）。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.0.0 |
| 針對函式應用程式啟用依類別群組的記錄功能 （microsoft.web/sites） 至 Log Analytics | 應啟用資源記錄以追蹤在資源上發生的活動與事件，並讓您查看和深入解析已發生的任何變更。 此原則會使用類別群組來部署診斷設定，以將記錄路由傳送至函式應用程式的Log Analytics工作區（microsoft.web/sites）。 | DeployIfNotExists、AuditIfNotExists、Disabled | 1.0.0 |
| 函數應用程式插槽應停用公用網路存取 | 停用公用網路存取可藉由確保函式應用程式不會公開在公用因特網上來改善安全性。 建立私人端點可以限制函式應用程式的公開。 深入了解：https://aka.ms/app-service-private-endpoint。 | 稽核、停用、拒絕 | 1.0.0 |
| 函式應用程式位置應已啟用用戶端憑證（傳入用戶端憑證） | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 Http 版本設定為 1.1 的應用程式。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式插槽應關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式插槽不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取函式應用程式。 請只允許必要網域與您的函式應用程式互動。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式插槽應只能透過 HTTPS 存取 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 2.0.0 |
| 函數應用程式插槽應該只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式插槽應使用 Azure 檔案共用作為其內容目錄 | 函式應用程式的內容目錄應該位於 Azure 檔案共用上。 檔案共用的記憶體帳戶信息必須在任何發佈活動之前提供。 若要深入瞭解如何使用 Azure 檔案儲存體 裝載 App Service 內容，https://go.microsoft.com/fwlink/?linkid=2151594請參閱 。 | Audit, Disabled | 1.0.0 |
| 函數應用程式插槽應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式插槽應使用最新版的 TLS | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 1.0.0 |
| 使用 Java 的函數應用程式插槽應使用指定的「Java 版本」 | Java 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議使用適用於函式應用程式的最新 Java 版本，以利用最新版本的安全性修正 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Java 版本。 | AuditIfNotExists, Disabled | 1.0.0 |
| 使用 Python 的函數應用程式插槽應使用指定的「Python 版本」 | Python 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議使用適用於函式應用程式的最新 Python 版本，以利用最新版本的安全性修正 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Python 版本。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式應停用公用網路存取 | 停用公用網路存取可藉由確保函式應用程式不會公開在公用因特網上來改善安全性。 建立私人端點可以限制函式應用程式的公開。 深入了解：https://aka.ms/app-service-private-endpoint。 | 稽核、停用、拒絕 | 1.0.0 |
| 函數應用程式應已啟用驗證 | Azure App Service 驗證這項功能可以防止匿名 HTTP 要求送達函數應用程式，也可以在擁有權杖的要求送達函數應用程式前予以驗證。 | AuditIfNotExists, Disabled | 3.0.0 |
| 函式應用程式應已啟用用戶端憑證（傳入用戶端憑證） | 用戶端憑證可讓應用程式針對連入要求來要求憑證。 只有具備有效憑證的用戶端才能存取該應用程式。 此原則適用於 Http 版本設定為 1.1 的應用程式。 | AuditIfNotExists, Disabled | 1.0.0 |
| 函數應用程式應關閉遠端偵錯 | 遠端偵錯需要在函數應用程式上開啟輸入連接埠。 應關閉遠端偵錯。 | AuditIfNotExists, Disabled | 2.0.0 |
| 函數應用程式不應將 CORS 設定為允許每個資源存取您的應用程式 | 跨原始資源共用 (CORS) 不應允許所有網域存取函式應用程式。 請只允許必要網域與您的函式應用程式互動。 | AuditIfNotExists, Disabled | 2.0.0 |
| 應只能透過 HTTPS 存取函數應用程式 | 使用 HTTPS 可確保伺服器/服務驗證，並保護傳輸中的資料不受網路層的竊聽攻擊。 | 稽核、停用、拒絕 | 5.0.0 |
| 函數應用程式應只需要 FTPS | 啟用 FTPS 強制執行以增強安全性。 | AuditIfNotExists, Disabled | 3.0.0 |
| 函數應用程式應使用 Azure 檔案共用作為其內容目錄 | 函式應用程式的內容目錄應該位於 Azure 檔案共用上。 檔案共用的記憶體帳戶信息必須在任何發佈活動之前提供。 若要深入瞭解如何使用 Azure 檔案儲存體 裝載 App Service 內容，https://go.microsoft.com/fwlink/?linkid=2151594請參閱 。 | Audit, Disabled | 3.0.0 |
| 函數應用程式應使用最新的「HTTP 版本」 | HTTP 會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 請使用適用於 Web 應用程式的最新 HTTP 版本，以利用較新版本的安全性修正 (如果有的話) 及 (或) 新功能。 | AuditIfNotExists, Disabled | 4.0.0 |
| 函數應用程式應使用受控識別 | 使用受控識別來增強驗證安全性 | AuditIfNotExists, Disabled | 3.0.0 |
| 函數應用程式應使用最新的 TLS 版本 | 基於安全性缺陷，TLS 會定期發行較新的版本，包含其他功能與加速。 針對函數應用程式升級至最新的 TLS 版本，以充分運用最新版本的安全性修正程式和/或新功能 (如果有的話)。 | AuditIfNotExists, Disabled | 2.0.1 |
| 使用 Java 的函數應用程式應使用指定的「Java 版本」 | Java 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議使用適用於函式應用程式的最新 Java 版本，以利用最新版本的安全性修正 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Java 版本。 | AuditIfNotExists, Disabled | 3.1.0 |
| 使用 Python 的函數應用程式應使用指定的「Python 版本」 | Python 軟體會定期發行較新的版本，以解決安全性缺陷或納入其他功能。 建議使用適用於函式應用程式的最新 Python 版本，以利用最新版本的安全性修正 (如果有的話) 及 (或) 新功能。 此原則僅適用於 Linux 應用程式。 此原則會要求您指定符合需求的 Python 版本。 | AuditIfNotExists, Disabled | 4.1.0 |
下一步
- 請參閱 Azure 原則 GitHub 存放庫上的內建項目。
- 檢閱 Azure 原則定義結構。
- 檢閱了解原則效果。