什么是网络安全边界？

Azure 网络安全外围从逻辑上为部署在虚拟网络之外的平台即服务（PaaS）资源划定网络边界。 网络安全外围通过建立安全外围来帮助控制对 Azure 存储帐户和 Azure Key Vault 等资源的公用网络访问。

默认情况下，网络安全外围限制对边界内 PaaS 资源的公共访问。 可以通过显式访问规则为入站和出站流量授予例外。 此方法有助于防止数据外泄，同时维护应用程序所需的连接。

有关涉及从虚拟网络到 PaaS 资源的流量的访问模式，请参阅 什么是 Azure 专用链接？。

网络安全外围的功能包括：

• 资源对资源的访问通信在边界成员内，防止数据外泄到未经授权的目的地。
• 外部公共访问管理，其中包含与外围关联的 PaaS 资源的显式规则。
• 用于审核和合规的访问日志。
• 跨 PaaS 资源的统一体验。

网络安全边界组件

网络安全外围包括以下组件：

网络安全外围属性

创建网络安全外围时，可以指定以下属性：

网络安全外围中的访问模式

管理员通过创建资源关联将 PaaS 资源添加到外围。 可以通过两种访问模式进行这些关联。 访问模式为：

详细了解如何从转换模式（原先的学习模式）过渡到启用强制模式，详见过渡到网络安全外围文章。

为何使用网络安全外围？

网络安全外围为部署在虚拟网络外部的 PaaS 服务通信提供安全外围。 它允许你控制对 Azure PaaS 资源的网络访问。 一些常见用例包括：

• 围绕 PaaS 资源创建安全边界。
• 通过将 PaaS 资源关联到外围来防止数据外泄。
• 启用访问规则以授予安全外围外部的访问权限。
• 在统一管理界面中管理网络安全外围内所有 PaaS 资源的访问规则。
• 启用诊断设置，以在审核和符合性外围内生成 PaaS 资源的访问日志。
• 允许专用终结点流量，而无需显式访问规则。

网络安全边界的工作原理是什么？

创建网络安全外围并且 PaaS 资源以强制模式与外围关联时，默认情况下会拒绝所有公共流量，从而防止外围外部数据外泄。

访问规则可用于批准外围外部的公共入站和出站流量。 可以使用客户端的网络和标识属性（例如源 IP 地址、订阅）批准公共入站访问。 公共出站访问可以通过使用外部目标的 FQDN（完全限定域名）来允许。

例如，在创建网络安全外围并将一组 PaaS 资源与强制模式下的外围（例如 Azure Key Vault 和 Azure 存储）相关联时，默认情况下，所有传入和传出公共流量都会被拒绝访问这些 PaaS 资源。 若要允许外围外部的任何访问，可以创建必要的访问规则。 在同一网络边界内，可以创建配置文件以对 PaaS 资源进行分组，并具有相似的入站和出站访问权限要求。

载入的专用链接资源

网络安全外围感知专用链接资源是可与网络安全外围关联的 PaaS 资源。 当前载入的专用链接资源列表如下所示：

支持的访问规则类型

网络安全外围支持以下访问规则类型：

网络安全外围的限制

日志记录限制

网络安全外围目前在所有 Azure 公有云区域中可用。 但是，在为网络安全外围启用访问日志时，要与网络安全外围关联的 Log Analytics 工作区需要位于 Azure Monitor 支持的区域之一。

缩放限制

网络安全外围功能可用于支持具有常见公用网络控制的 PaaS 资源部署，但存在以下缩放限制：

其他限制

网络安全外围具有其他限制，如下所示：

后续步骤