Azure Front Door の配信元へのトラフィックをセキュリティで保護する

App Service のアクセス制限を使用して、IP アドレスのフィルター処理とヘッダー フィルター処理を実行できます。 この機能はプラットフォームによって提供されるため、アプリケーションやホストを変更する必要はありません。

Application Gateway は仮想ネットワークにデプロイされます。 ネットワーク セキュリティ グループ規則を構成して、AzureFrontDoor.Backend サービス タグからポート 80 と 443 への受信アクセスを許可し、"インターネット" サービス タグからポート 80 と 443 への受信トラフィックを禁止します。

カスタム Web アプリケーション ファイアウォール (WAF) 規則を使用して、 X-Azure-FDID ヘッダー値を確認します。 詳細については、「Application Gateway で Web アプリケーション ファイアウォール v2 のカスタム規則を作成して使用する」を参照してください。

Application Gateway for Containers を使用して Azure Kubernetes Service (AKS) のトラフィック ルーティングを構成するには、X-Azure-FDID ヘッダーを使用して、Azure Front Door からの着信トラフィックと一致する HTTPRoute 規則を設定します。

apiVersion: gateway.networking.k8s.io/v1
kind: HTTPRoute
metadata:
  name: http-route
  namespace: {namespace}
spec:
  parentRefs:
  - name: {gateway-name}
  rules:
  - matches:
    - headers:
      - type: Exact
        name: X-Azure-FDID
        value: "xxxxxxxx-xxxx-xxxx-xxxx-xxx"
    backendRefs:
    - name: {backend-name}
      port: {port}

Azure でホストされている仮想マシンで Microsoft インターネット インフォメーション サービス (IIS) を実行する場合は、仮想マシンをホストする仮想ネットワークにネットワーク セキュリティ グループを作成する必要があります。 ネットワーク セキュリティ グループ規則を構成して、AzureFrontDoor.Backend サービス タグからポート 80 と 443 への受信アクセスを許可し、"インターネット" サービス タグからポート 80 と 443 への受信トラフィックを禁止します。

次の例のような IIS 構成ファイルを使用して、受信要求のヘッダー X-Azure-FDID を検査します。

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Filter_X-Azure-FDID" patternSyntax="Wildcard" stopProcessing="true">
          <match url="*" />
          <conditions>
            <add input="{HTTP_X_AZURE_FDID}" pattern="xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx" negate="true" />
          </conditions>
          <action type="AbortRequest" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

NGINX イングレス コントローラーを使用した AKS を実行する場合は、AKS クラスターをホストする仮想ネットワークにネットワーク セキュリティ グループを作成する必要があります。 ネットワーク セキュリティ グループ規則を構成して、AzureFrontDoor.Backend サービス タグからポート 80 と 443 への受信アクセスを許可し、"インターネット" サービス タグからポート 80 と 443 への受信トラフィックを禁止します。

次の例のような Kubernetes イングレス構成ファイルを使用して、受信要求のヘッダー X-Azure-FDID を検査します。

apiVersion: networking.k8s.io/v1
kind: Ingress
metadata:
  name: frontdoor-ingress
  annotations:
  kubernetes.io/ingress.class: nginx
  nginx.ingress.kubernetes.io/enable-modsecurity: "true"
  nginx.ingress.kubernetes.io/modsecurity-snippet: |
    SecRuleEngine On
    SecRule &REQUEST_HEADERS:X-Azure-FDID \"@eq 0\"  \"log,deny,id:106,status:403,msg:\'Front Door ID not present\'\"
    SecRule REQUEST_HEADERS:X-Azure-FDID \"@rx ^(?!xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).*$\"  \"log,deny,id:107,status:403,msg:\'Wrong Front Door ID\'\"
spec:
  #section omitted on purpose