Inaktivera grundläggande autentisering i Azure App Service-distributioner

I den här artikeln beskrivs hur du inaktiverar grundläggande autentisering med användarnamn och lösenord för att distribuera kod till Azure App Service-appar. Artikeln beskriver flera sätt att inaktivera grundläggande autentisering, eventuella återställningsmetoder och hur du övervakar grundläggande åtkomstförsök för autentisering.

App Service tillhandahåller grundläggande autentisering för FTP- och Web Deploy-klienter för att ansluta med användarnamns- och lösenordsinloggning. Api:er för grundläggande autentisering är bra för att bläddra i webbplatsens filsystem, ladda upp drivrutiner och verktyg och distribuera med MSBuild. Mer information finns i Konfigurera autentiseringsuppgifter för distribution för Azure App Service.

Företag kräver ofta säkrare distributionsmetoder än grundläggande autentisering, till exempel Microsoft Entra-ID. Microsoft Entra OAuth 2.0-åtkomsttoken har en begränsad användbar livslängd, är specifika för de program och resurser som de har utfärdats för och kan inte återanvändas. OAuth-tokenbaserad auktorisering hjälper till att minimera många problem med grundläggande autentisering.

Med Microsoft Entra kan du även distribuera från andra Azure-tjänster med hjälp av hanterade identiteter. Mer information finns i Autentiseringstyper efter distributionsmetod i Azure App Service.

Förutsättningar

• Om du vill inaktivera grundläggande autentisering för FTP-åtkomst till en app måste du ha åtkomst på ägarnivå till appen.
• Om du vill skapa och tilldela en roll för att förhindra att användare med lägre privilegier aktiverar grundläggande autentisering måste du ha behörighet som ägare eller administratör för användaråtkomst i prenumerationen.

Inaktivera grundläggande autentisering

För FTP-distribution styrs grundläggande autentisering av basicPublishingCredentialsPolicies/ftp flaggan eller alternativet FTP Basic Auth Publishing Credentials Portal.

För andra distributionsmetoder som använder grundläggande autentisering, till exempel Visual Studio, lokal Git och GitHub, styrs grundläggande autentisering av basicPublishingCredentialsPolicies/scm flaggan eller alternativet SCM Basic Auth Publishing Credentials Portal.

Så här inaktiverar du grundläggande autentisering:

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Försök att ansluta till appen med FTP/FTPS för att bekräfta att FTP-åtkomsten är blockerad. Du bör få ett 401-oautentiserat meddelande.

Om du vill bekräfta att Git-åtkomsten är blockerad kan du prova lokal Git-distribution. Du bör få ett meddelande om att autentiseringen misslyckades .

Distribuera utan grundläggande autentisering

När du inaktiverar grundläggande autentisering fungerar inte längre distributionsmetoder som är beroende av grundläggande autentisering. Vissa distributionsmetoder har mekanismer för återställningsdistribution.

Följande tabell visar hur olika distributionsmetoder beter sig när grundläggande autentisering är inaktiverad och återställningsmekanismen om någon. Mer information finns i Autentiseringstyper efter distributionsmetoder i Azure App Service.

Skapa en anpassad roll för att förhindra att grundläggande autentisering aktiveras

Om du vill förhindra att användare med lägre privilegier aktiverar grundläggande autentisering för alla appar kan du skapa en anpassad roll och tilldela användarna rollen.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Övervaka grundläggande autentiseringsförsök

Alla lyckade och misslyckade inloggningsförsök loggas till loggtypen Azure Monitor AppServiceAuditLogs. Om du vill granska försök och lyckade inloggningar på FTP och Web Deploy följer du stegen i Skicka loggar till Azure Monitor och aktiverar leverans av AppServiceAuditLogs loggtypen.

Om du vill bekräfta att loggarna levereras till dina valda tjänster kan du prova att logga in via FTP eller Web Deploy. I följande exempel visas en lagringskontologg.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Använda grundläggande autentiseringsrelaterade principer

Azure Policy kan hjälpa dig att framtvinga organisationsstandarder och utvärdera efterlevnad i stor skala. Du kan använda Azure Policy för att granska alla appar som fortfarande använder grundläggande autentisering och åtgärda icke-kompatibla resurser. I följande lista visas inbyggda principer för granskning och reparation av grundläggande autentisering i App Service:

• Granskningsprincip för FTP
• Granskningsprincip för SCM
• Reparationsprincip för FTP
• Reparationsprincip för SCM

I följande lista visas motsvarande principer för platser:

• Granskningsprincip för FTP
• Granskningsprincip för SCM
• Reparationsprincip för FTP
• Reparationsprincip för SCM

Relaterat innehåll

• Autentiseringstyper efter distributionsmetod i Azure App Service
• Konfigurera kontinuerlig distribution till Azure App Service
• Distribuera till Azure App Service med hjälp av GitHub Actions
• Distribuera till Azure App Service med hjälp av Git lokalt
• Distribuera din app till Azure App Service med FTP/S