什么是网络安全外围？

Azure 网络安全边界在部署于虚拟网络外的平台即服务（PaaS）资源周围创建逻辑网络边界。 网络安全边界通过建立安全边界来帮助控制对 Azure Storage 帐户和 Azure Key Vault 等资源的公共网络访问。

默认情况下，网络安全外围限制对边界内 PaaS 资源的公共访问。 可以通过针对入站和出站流量的显式访问规则授予例外权限。 此方法有助于防止数据外泄，同时维护应用程序所需的连接。

有关涉及从虚拟网络到 PaaS 资源的流量的访问模式，请参阅 什么是Azure Private Link？

网络安全外围的功能包括：

• 在外围成员内进行资源到资源访问通信，可防止数据外泄到未经授权的目标。
• 使用适用于与外围关联的 PaaS 资源的显式规则进行外部公共访问管理。
• 访问用于审核和合规性的日志。
• 跨 PaaS 资源的统一体验。

网络安全外围的组件

网络安全外围包括以下组件：

网络安全外围属性

创建网络安全外围时，可以指定以下属性：

网络安全外围中的访问模式

管理员通过创建资源关联将 PaaS 资源添加到外围。 可通过两种访问模式创建这些关联。 访问模式如下：

详细了解如何从转换模式（以前是学习模式）移到过渡到网络安全外围一文中的强制模式。

为何使用网络安全外围？

网络安全外围为部署在虚拟网络外部的 PaaS 服务通信提供一个安全外围。 它允许你控制对 Azure PaaS 资源的网络访问。 一些常见用例包括：

• 在 PaaS 资源周围创建一个安全边界。
• 通过将 PaaS 资源关联到外围来防止数据外泄。
• 启用访问规则以授予安全外围外部的访问权限。
• 在单一控制面板中管理网络安全外围内所有 PaaS 资源的访问规则。
• 启用诊断设置，生成外围内的 PaaS 资源的访问日志用于审核和合规性。
• 允许专用终结点流量，而无需显式访问规则。

网络安全外围的工作原理？

创建网络安全外围，并且 PaaS 资源在强制模式下与外围关联时，默认情况下会拒绝所有公共流量，从而防止外围外部的数据外泄。

访问规则可用于批准外围外部的公共入站和出站流量。 可以使用客户端的网络和标识属性（例如源 IP 地址、订阅）批准公共入站访问。 可以使用外部目标的 FQDN（完全限定的域名）批准公共出站访问。

例如，在创建网络安全外围并将一组 PaaS 资源与强制模式下的外围（如 Azure Key Vault 和Azure Storage）相关联时，默认情况下，所有传入和传出公共流量都会被拒绝访问这些 PaaS 资源。 若要允许外围外部的任何访问，可以创建必要的访问规则。 在同一外围内，可以创建配置文件，以对具有一组相似的入站和出站访问要求的 PaaS 资源进行分组。

加入的专用链接资源

网络安全外围感知专用链接资源是可与网络安全外围关联的 PaaS 资源。 目前，加入的专用链接资源列表如下所示：

支持的访问规则类型

网络安全外围支持以下访问规则类型：

网络安全外围的局限性

日志记录限制

网络安全外围目前在所有Azure公有云区域中可用。 但是，在为网络安全外围启用访问日志时，要与网络安全外围关联的Log Analytics工作区需要位于Azure Monitor支持的区域之一。

Microsoft Sentinel 限制

以下是已知的限制：

• 已启用 Microsoft Sentinel 的 Log Analytics 工作区不支持网络安全边界。 如果在工作区上启用了网络安全外围，则会自动禁用分析规则。 有关更多信息，请参阅 部署 Microsoft Sentinel 的必备条件。
• 启用了网络安全外围的存储帐户不支持Azure Backup。 如果启用了备份，或者计划使用Azure Backup，我们建议不要将存储帐户与网络安全外围相关联。

缩放限制

网络安全外围功能可用于支持具有常见公用网络控制的 PaaS 资源部署，但存在以下缩放限制：

其他限制

网络安全外围具有其他限制，如下所示：

后续步骤