Și eu am avut aceeași întrebare și am împărtășit aceeași îngrijorare.
Răspunsul scurt la întrebarea dvs. âce anume va face acest VNET deoarece este un orfelinat.â
Nu este nimic
Răspunsul detaliat al @Ken W MSFT este detaliat, valoros și perfect. Și asta știai deja.
Echipa dvs. de securitate este condusă de faptul că politicile încorporate Microsoft și liniile de bază de securitate pentru seiful de chei Azure și benchmark-ul Azure Security recomandă să nu ajungeți niciodată la AKV de pe internetul public și, prin urmare, să ajungeți la el NUMAI printr-o legătură privată sau un punct final al serviciului, așa cum este explicat în detaliile de mai sus, dar toate presupune că aveți un VNET și VM IaaS, care este NU cazul tau.
Este nevoie de cineva care să privească o viziune mai largă și să nu urmeze recomandările orbește, fără să înțeleagă ce înseamnă ele.
Spun că, deși sunt deschis să greșesc și să greșesc, dar am văzut astfel de dileme pentru că am lucrat și am trăit în ambele lumi ca arhitect de soluții cloud și arhitect de securitate în cloud.
Deci, pentru a vă îndeplini cerințele de securitate, puteți face una dintre cele două opțiuni:
Schimbați-vă aplicația PaaS în IaaS, aveți o VM într-o subrețea într-o
VNET și faceți configurațiile proprietăților așa cum s-a explicat mai sus.
Promovați planul de găzduire la izolat și integrați-vă aplicația
Serviți cu VNET și aveți acces la VNET la alte resurse AKV
așa cum se arată în aceasta legătură
Iată ghidul pentru securitate pe care le recomandă echipa de securitate. dar este mult mai costisitoare decât soluția ta.
Îndrumări: Când utilizați App Service în nivelul de preț izolat, numit și App Service Environment (ASE), puteți implementa direct într-o subrețea din rețeaua virtuală Azure. Utilizați grupuri de securitate de rețea pentru a vă securiza mediul Azure App Service, blocând traficul de intrare și de ieșire către resursele din rețeaua virtuală sau pentru a restricționa accesul la aplicații dintr-un mediu de serviciu App.
În mod implicit, grupurile de securitate de rețea includ o regulă de refuzare implicită la cea mai mică prioritate și vă solicită să adăugați reguli de autorizare explicite. Adăugați reguli de autorizare pentru grupul dvs. de securitate a rețelei pe baza unei abordări de rețea cu cel mai puțin privilegiat. Mașinile virtuale subiacente care sunt utilizate pentru a găzdui App Service Environment nu sunt direct accesibile deoarece sunt într-un abonament gestionat de Microsoft.
Protejați un mediu de serviciu de aplicații prin direcționarea traficului printr-un firewall pentru aplicații web (WAF) activat Azure Application Gateway. Utilizați punctele finale de serviciu împreună cu Application Gateway pentru a securiza traficul de publicare de intrare către aplicația dvs.
