透過應用程式閘道設定 App Service

發行項
03/25/2024

應用程式閘道可讓您以 App Service 應用程式或其他多租用戶服務作為後端集區成員。在本文中，您將了解如何透過應用程式閘道設定 App Service 應用程式。應用程式閘道的設定會根據 App Service 存取方式而不同：

第一個選項會使用後端中應用程式閘道和 App Service 上的「自訂網域」。
第二個選項是使用「預設網域」 (尾碼為 ".azurewebsites.net")，以讓應用程式閘道存取 App Service。

自訂網域 (建議)
預設網域

此設定建議用於生產等級案例，並符合在要求流程中不變更主機名稱的做法。您必須擁有自訂網域 (和相關聯的憑證)，以避免必須依賴預設 ".azurewebsites" 網域。

將相同的網域名稱與後端集區中的應用程式閘道和 App Service 產生關聯，要求流程就不需要覆寫主機名稱。後端 Web 應用程式將會看到用戶端所使用的原始主機。

Scenario overview for Application Gateway to App Service using the same custom domain for both

在本文章中，您將了解如何：

設定 DNS
將 App Service 以後端集區形式新增至應用程式閘道
設定連線至 App Service 的 HTTP 設定
設定 HTTP 接聽程式
設定要求路由規則

應用程式閘道：建立沒有後端集區目標的應用程式閘道。如需詳細資訊，請參閱快速入門：使用 Azure 應用程式閘道引導網路流量 - Azure 入口網站
App Service：如果您沒有現有 App Service，則請參閱 App Service 文件。
儲存在金鑰保存庫中的自訂網域名稱和相關聯憑證 (由已知授權單位所簽署)。如需如何在 Key Vault 中儲存憑證的詳細資訊，請參閱教學課程：在 Azure Key Vault 中匯入憑證

設定 DNS

在此案例的內容中，DNS 在兩個位置相關：

使用者或用戶端用於應用程式閘道且顯示在瀏覽器中的 DNS 名稱
應用程式閘道內部用來存取後端中 App Service 的 DNS 名稱

自訂網域 (建議)
預設網域

使用自訂網域，將使用者或用戶端路由傳送至應用程式閘道。針對應用程式閘道，使用指向 DNS 的 CNAME 別名來設定 DNS。應用程式閘道 DNS 位址會顯示在相關聯公用 IP 位址的概觀頁面上。或者，直接建立指向 IP 位址的 A 記錄。 (針對應用程式閘道 V1，如果您停止並啟動此服務，則 VIP 可能會變更，而這會讓此選項變成不需要。)

應該設定 App Service，使其使用自訂網域名稱作為傳入主機來接受來自應用程式閘道的流量。如需如何將自訂網域對應至 App Service 的詳細資訊，請參閱教學課程：將現有自訂 DNS 名稱對應至 Azure App Service。若要驗證網域，App Service 只需要新增 TXT 記錄。 CNAME 或 A-records 不需要變更。自訂網域的 DNS 設定仍然會導向至應用程式閘道。

若要接受透過 HTTPS 的 App Service 連線，請設定其 TLS 繫結。如需詳細資訊，請參閱在 Azure App Service 中使用 TLS/SSL 繫結來保護自訂 DNS 名稱。設定 App Service 從 Azure Key Vault 中提取自訂網域的憑證。

將 App Service 新增為後端集區

Azure 入口網站
PowerShell

在 Azure 入口網站中，選取您的應用程式閘道。
在 [後端集區] 下，選取後端集區。
在 [目標類型] 下，選取 [應用程式服務]。
在 [目標] 下，選取您的 App Service。

注意

下拉式清單只會填入與您應用程式閘道位於相同訂用帳戶中的應用程式服務。如果您想要使用應用程式服務，而其訂用帳戶與應用程式閘道所在的訂用帳戶不同，則請不要在 [目標] 下拉式清單中選擇 [應用程式服務]，而是選擇 [IP 位址或主機名稱] 選項，然後輸入應用程式服務的主機名稱 (example.azurewebsites.net)。
選取 [儲存]。

# Fully qualified default domain name of the web app:
$webAppFQDN = "<nameofwebapp>.azurewebsite.net"

# For Application Gateway: both name, resource group and name for the backend pool to create:
$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$appGwBackendPoolNameForAppSvc = "<name for backend pool to be added>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Add a new Backend Pool with App Service in there:
Add-AzApplicationGatewayBackendAddressPool -Name $appGwBackendPoolNameForAppSvc -ApplicationGateway $gw -BackendFqdns $webAppFQDN

# Update Application Gateway with the new added Backend Pool:
Set-AzApplicationGateway -ApplicationGateway $gw

編輯 App Service 的 HTTP 設定

需要 HTTP 設定，以指示應用程式閘道使用「自訂網域名稱」來存取 App Service 後端。 HTTP 設定預設將使用預設健全狀態探查。雖然預設健全狀態探查將使用接收流量的主機名稱轉送要求，但由於尚未明確定義主機名稱，因此健全狀態探查將使用 127.0.0.1 作為後端集區的主機名稱。基於這個理由，我們需要建立以正確的自訂網域名稱作為其主機名稱進行設定的自訂健全狀態探查。

我們將使用 HTTPS 連線至後端。

在 [HTTP 設定] 下，選取現有 HTTP 設定，或新增新的 HTTP 設定。
建立新的 HTTP 設定時，請為其指定名稱
使用連接埠 443 來選取 HTTPS 作為所需的後端通訊協定
如果憑證是由已知的授權單位所簽署，則請針對 [使用已知的 CA 憑證] 選取 [是]。或者，新增後端伺服器的驗證/受信任的根憑證
請務必將 [以新的主機名稱覆寫] 設定為 [否]
在 [自訂探查] 下拉式清單中，選取自訂 HTTPS 健康情況探查。

Configure H T T P Settings to use custom domain towards App Service backend using No Override

# Configure Application Gateway to connect to App Service using the incoming hostname
$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$customProbeName = "<name for custom health probe>"
$customDomainName = "<FQDN for custom domain associated with App Service>"
$httpSettingsName = "<name for http settings to be created>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Add custom health probe using custom domain name:
Add-AzApplicationGatewayProbeConfig -Name $customProbeName -ApplicationGateway $gw -Protocol Https -HostName $customDomainName -Path "/" -Interval 30 -Timeout 120 -UnhealthyThreshold 3
$probe = Get-AzApplicationGatewayProbeConfig -Name $customProbeName -ApplicationGateway $gw

# Add HTTP Settings to use towards App Service:
Add-AzApplicationGatewayBackendHttpSettings -Name $httpSettingsName -ApplicationGateway $gw -Protocol Https -Port 443 -Probe $probe -CookieBasedAffinity Disabled -RequestTimeout 30

# Update Application Gateway with the new added HTTP settings and probe:
Set-AzApplicationGateway -ApplicationGateway $gw

# Configure Application Gateway to connect to backend using default App Service hostname
$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$httpSettingsName = "<name for http settings to be created>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Add HTTP Settings to use towards App Service:
Add-AzApplicationGatewayBackendHttpSettings -Name $httpSettingsName -ApplicationGateway $gw -Protocol Https -Port 443 -PickHostNameFromBackendAddress -CookieBasedAffinity Disabled -RequestTimeout 30

# Update Application Gateway with the new added HTTP settings and probe:
Set-AzApplicationGateway -ApplicationGateway $gw

設定 HTTP 接聽程式

若要接受流量，我們需要設定接聽程式。如需此作業的詳細資訊，請參閱應用程式閘道接聽程式設定。

開啟 [接聽程式] 區段，然後選擇 [新增接聽程式] 或按一下現有的接聽程式來進行編輯
針對新的接聽程式：提供為名稱
在 [前端 IP] 下，選取要接聽的 IP 位址
在 [連接埠] 下，選取 [443]
在 [通訊協定] 下，選取 [HTTPS]
在 [選擇憑證] 下，選取 [從 Key Vault 選擇憑證]。如需詳細資訊，請參閱使用 Key Vault，而您可以在其中找到如何指派受控身分識別以及對其提供您 Key Vault 權限的詳細資訊。
1. 指定憑證的名稱
2. 選取 [受控身分識別]
3. 選取從中取得憑證的 Key Vault
4. 選取憑證
在 [接聽程式類型] 下，選取 [基本]
按一下 [新增] 以新增接聽程式

Add a listener for H T T P S traffic

# This script assumes that:
# - a certificate was imported in Azure Key Vault already
# - a managed identity was assigned to Application Gateway with access to the certificate
# - there is no HTTP listener defined yet for HTTPS on port 443

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$appGwSSLCertificateName = "<name for ssl cert to be created within Application Gateway"
$appGwSSLCertificateKeyVaultSecretId = "<key vault secret id for the SSL certificate to use>"
$httpListenerName = "<name for the listener to add>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Create SSL certificate object for Application Gateway:
Add-AzApplicationGatewaySslCertificate -Name $appGwSSLCertificateName -ApplicationGateway $gw -KeyVaultSecretId $appGwSSLCertificateKeyVaultSecretId
$sslCert = Get-AzApplicationGatewaySslCertificate -Name $appGwSSLCertificateName -ApplicationGateway $gw

# Fetch public ip associated with Application Gateway:
$ipAddressResourceId = $gw.FrontendIPConfigurations.PublicIPAddress.Id
$ipAddressResource = Get-AzResource -ResourceId $ipAddressResourceId
$publicIp = Get-AzPublicIpAddress -ResourceGroupName $ipAddressResource.ResourceGroupName -Name $ipAddressResource.Name

$frontendIpConfig = $gw.FrontendIpConfigurations | Where-Object {$_.PublicIpAddress -ne $null}

$port = New-AzApplicationGatewayFrontendPort -Name "port_443" -Port 443
Add-AzApplicationGatewayFrontendPort -Name "port_443" -ApplicationGateway $gw -Port 443
Add-AzApplicationGatewayHttpListener -Name $httpListenerName -ApplicationGateway $gw -Protocol Https -FrontendIPConfiguration $frontendIpConfig -FrontendPort $port -SslCertificate $sslCert

# Update Application Gateway with the new HTTPS listener:
Set-AzApplicationGateway -ApplicationGateway $gw

在許多情況下，連接埠 80 上已經有 HTTP 的公用接聽程式。如果不是這種情況，則下面的指令碼將會建立接聽程式。

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$httpListenerName = "<name for the listener to add if not exists yet>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Check if HTTP listener on port 80 already exists:
$port = $gw.FrontendPorts | Where-Object {$_.Port -eq 80}
$listener = $gw.HttpListeners | Where-Object {$_.Protocol.ToString().ToLower() -eq "http" -and $_.FrontendPort.Id -eq $port.Id}

if ($listener -eq $null){
    $frontendIpConfig = $gw.FrontendIpConfigurations | Where-Object {$_.PublicIpAddress -ne $null}
    Add-AzApplicationGatewayHttpListener -Name $httpListenerName -ApplicationGateway $gw -Protocol Http -FrontendIPConfiguration $frontendIpConfig -FrontendPort $port

    # Update Application Gateway with the new HTTPS listener:
    Set-AzApplicationGateway -ApplicationGateway $gw
}

設定要求路由規則

使用稍早設定的後端集區和 HTTP 設定，可以設定要求路由規則來取得接聽程式的流量，並使用 HTTP 設定將其路由傳送至後端集區。因此，請確定您有 HTTP 或 HTTPS 接聽程式，而此接聽程式尚未繫結至現有的路由規則。

Azure 入口網站
PowerShell

在 [規則] 下，按一下以新增 [要求路由規則]
提供具有名稱的規則
選取尚未繫結至現有路由規則的 HTTP 或 HTTPS 接聽程式
在 [後端目標] 下，選擇已在其中設定 App Service 的後端集區
設定哪個應用程式閘道應該連線至 App Service 後端的 HTTP 設定
選取 [新增] 以儲存此設定

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"
$httpListenerName = "<name for existing http listener (without rule) to route traffic from>"
$httpSettingsName = "<name for http settings to use>"
$appGwBackendPoolNameForAppSvc = "<name for backend pool to route to>"
$reqRoutingRuleName = "<name for request routing rule to be added>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Get HTTP Settings:
$httpListener = Get-AzApplicationGatewayHttpListener -Name $httpListenerName -ApplicationGateway $gw
$httpSettings = Get-AzApplicationGatewayBackendHttpSettings -Name $httpSettingsName -ApplicationGateway $gw
$backendPool = Get-AzApplicationGatewayBackendAddressPool -Name $appGwBackendPoolNameForAppSvc -ApplicationGateway $gw

# Add routing rule:
Add-AzApplicationGatewayRequestRoutingRule -Name $reqRoutingRuleName -ApplicationGateway $gw -RuleType Basic -BackendHttpSettings $httpSettings -HttpListener $httpListener -BackendAddressPool $backendPool

# Update Application Gateway with the new routing rule:
Set-AzApplicationGateway -ApplicationGateway $gw

測試

在這麼做之前，請確定後端健康情況顯示為狀況良好：

開啟 [後端健康情況] 區段，並確定 [狀態] 資料行指出 [HTTP 設定] 和 [後端集區] 的組合顯示為[狀況良好]。

Check backend health in Azure portal

現在，使用您與後端中應用程式閘道和 App Service 相關聯的自訂網域，來瀏覽至 Web 應用程式。

檢查後端和 HTTP 設定的後端健康情況是否顯示為「狀況良好」：

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Check health:
Get-AzApplicationGatewayBackendHealth -ResourceGroupName $rgName -Name $appGwName

若要測試設定，我們將使用自訂網域，以透過應用程式閘道來要求來自 App Service 的內容：

$customDomainName = "<FQDN for custom domain pointing to Application Gateway>"
Invoke-WebRequest $customDomainName

檢查後端和 HTTP 設定的後端健康情況是否顯示為「狀況良好」：

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Check health:
Get-AzApplicationGatewayBackendHealth -ResourceGroupName $rgName -Name $appGwName

若要測試設定，我們將使用 IP 位址，以透過應用程式閘道來要求來自 App Service 的內容：

$rgName = "<name of resource group for App Gateway>"
$appGwName = "<name of the App Gateway>"

# Get existing Application Gateway:
$gw = Get-AzApplicationGateway -Name $appGwName -ResourceGroupName $rgName

# Get ip address:
$ipAddressResourceId = $gw.FrontendIPConfigurations.PublicIPAddress.Id
$ipAddressResource = Get-AzResource -ResourceId $ipAddressResourceId
$publicIp = Get-AzPublicIpAddress -ResourceGroupName $ipAddressResource.ResourceGroupName -Name $ipAddressResource.Name
Write-Host "Public ip address for Application Gateway is $($publicIp.IpAddress)"
Invoke-WebRequest "http://$($publicIp.IpAddress)"

在測試應用程式時，請注意下列非詳盡的潛在徵兆清單：

直接指向 ".azurewebsites.net" 的重新導向，而不是指向應用程式閘道
這包括嘗試直接存取 ".azurewebsites.net" 的 App Service 驗證重新導向
網域繫結 Cookie 未傳遞至後端
這包括在 App Service 中使用「ARR 親和性」設定

上述條件 (架構中心內會詳細說明) 指出您的 Web 應用程式無法妥善地重寫主機名稱。這十分常見。解決此問題的建議方式是遵循搭配使用自訂網域與 App Service 來設定應用程式閘道的指示。也請參閱：針對應用程式閘道中的 App Service 問題進行疑難排解。

限制存取

在這些範例中部署的 Web 應用程式會使用可直接從網際網路存取的公用 IP 位址。這在您了解新功能及嘗試新事物時，可協助進行疑難排解。但是，如果您想要將一項功能部署到生產環境，則需要新增更多限制。請考慮下列選項：

設定根據服務端點的存取限制規則。這可讓您鎖定應用程式的輸入存取權，以確定來源位址來自應用程式閘道。
使用 Azure App Service 靜態 IP 限制。例如，您可以限制 Web 應用程式，使它只會從應用程式閘道接收流量。您可以使用應用程式服務 IP 限制功能，將應用程式閘道 VIP 列為具有存取權的唯一位址。