Azure 应用服务的 Azure Policy 内置定义

此页是 Azure 应用服务的 Azure Policy 内置策略定义的索引。 有关其他服务的其他 Azure Policy 内置定义，请参阅 Azure Policy 内置定义。

每个内置策略定义链接（指向 Azure 门户中的策略定义）的名称。 使用“版本”列中的链接查看 Azure Policy GitHub 存储库上的源。

Azure 应用服务

发行说明

2024 年 10 月

• 应用服务应用和槽中现在支持 TLS 1.3。 已更新以下策略以强制将最低 TLS 版本设置为 1.3：
  • “应用服务应用应使用最新的 TLS 版本”
  • “应用服务应用槽应使用最新的 TLS 版本”
  • “将应用服务应用配置为使用最新的 TLS 版本”
  • “配置应用服务应用槽以使用最新的 TLS 版本”
  • “函数应用应使用最新 TLS 版本”
  • “将函数应用配置为使用最新的 TLS 版本”
  • “函数应用槽应使用最新的 TLS 版本”
  • “配置函数应用槽以使用最新的 TLS 版本”

2023 年 4 月

• 使用 Java 的应用服务应用应使用最新“Java 版本”
  • 将策略重命名为“使用 Java 的应用服务应用应使用指定的 Java 版本”
  • 更新策略，以便其在分配之前要求具有版本规范
• 使用 Python 的应用服务应用应使用最新“Python 版本”
  • 将策略重命名为“使用 Python 的应用服务应用应使用指定的 Python 版本”
  • 更新策略，以便其在分配之前要求具有版本规范
• 使用 Java 的函数应用应使用最新“Java 版本”
  • 将策略重命名为“使用 Java 的函数应用应使用指定的 Java 版本”
  • 更新策略，以便其在分配之前要求具有版本规范
• 使用 Python 的函数应用应使用最新“Python 版本”
  • 将策略重命名为“使用 Python 的函数应用应使用指定的 Python 版本”
  • 更新策略，以便其在分配之前要求具有版本规范
• 使用 PHP 的应用服务应用应使用最新“PHP 版本”
  • 将策略重命名为“使用 PHP 的应用服务应用应使用指定的 PHP 版本”
  • 更新策略，以便其在分配之前要求具有版本规范
• 使用 Python 的应用服务应用槽应使用指定的 Python 版本
  • 新策略已创建
• 使用 Python 的函数应用槽应使用指定的 Python 版本
  • 新策略已创建
• 使用 PHP 的应用服务应用槽应使用指定的 PHP 版本
  • 新策略已创建
• 使用 Java 的应用服务应用槽应使用指定的 Java 版本
  • 新策略已创建
• 使用 Java 的函数应用槽应使用指定的 Java 版本
  • 新策略已创建

2022 年 11 月

• “应用服务应用应启用到 Azure 虚拟网络的出站非 RFC 1918 流量”策略的弃用
  • 根据站点属性被替换为具有相同显示名称的一个策略，以支持拒绝效果
• “应用服务应用槽应启用到 Azure 虚拟网络的出站非 RFC 1918 流量”策略的弃用
  • 根据站点属性被替换为具有相同显示名称的一个策略，以支持拒绝效果
• 应用服务应用应启用到 Azure 虚拟网络的出站非 RFC 1918 流量
  • 新策略已创建
• 应用服务应用槽应启用到 Azure 虚拟网络的出站非 RFC 1918 流量
  • 新策略已创建
• 应用服务应用应启用到 Azure 虚拟网络的配置路由
  • 新策略已创建
• 应用服务应用槽应启用到 Azure 虚拟网络的配置路由
  • 新策略已创建

2022 年 10 月

• 函数应用槽应已关闭远程调试
  • 新策略已创建
• 应用服务应用槽应已关闭远程调试
  • 新策略已创建
• 函数应用槽应使用最新的“HTTP 版本”
  • 新策略已创建
• 函数应用槽应使用最新的 TLS 版本
  • 新策略已创建
• 应用服务应用槽应使用最新的 TLS 版本
  • 新策略已创建
• 应用服务应用槽应启用资源日志
  • 新策略已创建
• 应用服务应用槽应启用到 Azure 虚拟网络的出站非 RFC 1918 流量
  • 新策略已创建
• 应用服务应用槽应使用托管标识
  • 新策略已创建
• 应用服务应用槽应使用最新的“HTTP 版本”
  • 新策略已创建
• “配置应用服务以禁用公用网络访问”策略已弃用
  • 替换为“配置应用服务应用以禁用公共网络访问”
• “应用服务应禁用公共网络访问”策略已弃用
  • 替换为“应用服务应用应禁用公共网络访问”以支持拒绝效果
• 应用服务应用应禁用公用网络访问
  • 新策略已创建
• 应用服务应用槽应禁用公用网络访问
  • 新策略已创建
• 配置应用服务应用以禁用公用网络访问
  • 新策略已创建
• 配置应用服务应用槽以禁用公用网络访问
  • 新策略已创建
• 函数应用应禁用公用网络访问
  • 新策略已创建
• 函数应用槽应禁用公用网络访问
  • 新策略已创建
• 配置函数应用以禁用公用网络访问
  • 新策略已创建
• 配置函数应用槽以禁用公用网络访问
  • 新策略已创建
• 配置应用服务应用槽以关闭远程调试
  • 新策略已创建
• 配置函数应用槽以关闭远程调试
  • 新策略已创建
• 配置应用服务应用槽以使用最新的 TLS 版本
  • 新策略已创建
• 配置函数应用槽以使用最新的 TLS 版本
  • 新策略已创建
• 应用服务应用应使用最新“HTTP 版本”
  • 更新范围以包括 Windows 应用
• 函数应用应使用最新“HTTP 版本”
  • 更新范围以包括 Windows 应用
• 不应通过公共 Internet 访问应用服务环境应用
  • 修改策略定义以移除对 API 版本的检查

2022 年 9 月

• 应用服务应用应注入到虚拟网络中
  • 更新策略范围来移除槽
    • 创建“应将应用服务应用槽注入到虚拟网络中”来监视槽
• 应将应用服务应用槽注入到虚拟网络中
  • 新策略已创建
• 确保函数应用已启用“客户端证书（传入客户端证书）”
  • 更新策略范围来移除槽
    • 创建“函数应用槽应已启用‘客户端证书(传入的客户端证书)’”来监视槽
• 函数应用槽应已启用“客户端证书(传入的客户端证书)”
  • 新策略已创建
• 函数应用应使用 Azure 文件共享作为其内容目录
  • 更新策略范围来移除槽
    • 创建“函数应用槽应将 Azure 文件共享用于其内容目录”来监视槽
• 函数应用槽应将 Azure 文件共享用于其内容目录
  • 新策略已创建
• 应用服务应用应启用“客户端证书(传入客户端证书)”
  • 更新策略范围来移除槽
    • 创建“应用服务应用槽应已启用‘客户端证书(传入的客户端证书)’”来监视槽
• 应用服务应用槽应启用“客户端证书(传入客户端证书)”
  • 新策略已创建
• 应用服务应用应将 Azure 文件共享用于其内容目录
  • 更新策略范围来移除槽
    • 创建“应用服务应用槽应将 Azure 文件共享用于其内容目录”来监视槽
• 应用服务应用槽应将 Azure 文件共享用于其内容目录
  • 新策略已创建
• 函数应用槽应仅需要 FTPS
  • 新策略已创建
• 应用服务应用槽应仅需要 FTPS
  • 新策略已创建
• 函数应用槽不应将 CORS 配置为允许每个资源访问你的应用
  • 新策略已创建
• 应用服务应用槽不应将 CORS 配置为允许每个资源访问应用
  • 新策略已创建
• 只应通过 HTTPS 访问函数应用
  • 更新策略范围来移除槽
    • 创建“只应通过 HTTPS 访问函数应用槽”来监视槽
  • 添加“拒绝”效果
  • 创建“将函数应用配置为只能通过 HTTPS 访问”，以强制实施策略
• 只应通过 HTTPS 访问函数应用槽
  • 新策略已创建
• 将函数应用配置为仅可通过 HTTPS 访问
  • 新策略已创建
• 将函数应用槽配置为只能通过 HTTPS 访问
  • 新策略已创建
• 应用服务应用应使用支持专用链接的 SKU
  • 更新受支持策略 SKU 的列表以包括逻辑应用的工作流标准层
• 将应用服务应用配置为使用最新的 TLS 版本
  • 新策略已创建
• 将函数应用配置为使用最新的 TLS 版本
  • 新策略已创建
• 配置应用服务应用以关闭远程调试
  • 新策略已创建
• 配置函数应用以关闭远程调试
  • 新策略已创建

2022 年 8 月

• 只应通过 HTTPS 访问应用服务应用
  • 更新策略范围来移除槽
    • 创建“只应通过 HTTPS 访问应用服务应用槽”来监视槽
  • 添加“拒绝”效果
  • 创建“将应用服务应用配置为只能通过 HTTPS 访问”，以强制实施策略
• 只应通过 HTTPS 访问应用服务应用槽
  • 新策略已创建
• 将应用服务应用配置为只能通过 HTTPS 访问
  • 新策略已创建
• 将应用服务应用槽配置为只能通过 HTTPS 访问
  • 新策略已创建

2022 年 7 月

• 弃用以下策略：
  • 确保 API 应用的“客户端证书(传入客户端证书)”设置为“打开”
  • 确保用作 API 应用一部分的“Python 版本”是最新的
  • CORS 不应允许所有资源都能访问 API 应用
  • 应在 API 应用中使用的托管标识
  • 应为 API 应用禁用远程调试
  • 确保用作 API 应用一部分的“PHP 版本”是最新的
  • API 应用应使用 Azure 文件共享作为其内容目录
  • 应仅在 API 应用中需要 FTPS
  • 确保用作 API 应用一部分的“Java 版本”是最新的
  • 确保用于运行 API 应用的“HTTP 版本”是最新的
  • 应在 API 应用中使用最新的 TLS 版本
  • 应在 API 应用上启用身份验证
• 确保函数应用已启用“客户端证书（传入客户端证书）”
  • 更新策略范围以包括槽
  • 更新策略范围以排除逻辑应用
• 确保 WEB 应用的“客户端证书(传入客户端证书)”设置为“打开”
  • 将策略重命名为“应用服务应用应已启用‘客户端证书(传入的客户端证书)’”
  • 更新策略范围以包括槽
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 确保用作 Web 应用一部分的“Python 版本”是最新的
  • 将策略重命名为“使用 Python 的应用服务应用应使用最新的‘Python 版本’”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 确保用作函数应用一部分的“Python 版本”是最新的
  • 将策略重命名为“使用 Python 的函数应用应使用最新的‘Python 版本’”
  • 更新策略范围以排除逻辑应用
• CORS 不应允许所有资源都能访问你的 Web 应用程序
  • 将策略重命名为“应用服务应用不应将 CORS 配置为允许每个资源访问应用”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• CORS 不应允许所有资源都能访问函数应用
  • 将策略重命名为“函数应用不应将 CORS 配置为允许每个资源访问应用”
  • 更新策略范围以排除逻辑应用
• 应在函数应用中使用的托管标识
  • 将策略重命名为“函数应用应使用托管标识”
  • 更新策略范围以排除逻辑应用
• 应在 Web 应用中使用的托管标识
  • 将策略重命名为“应用服务应用应使用托管标识”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 应对函数应用禁用远程调试
  • 将策略重命名为“函数应用应关闭远程调试”
  • 更新策略范围以排除逻辑应用
• 应禁用 Web 应用程序的远程调试
  • 将策略重命名为“应用服务应用应关闭远程调试”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 确保用作 WEB 应用一部分的“PHP 版本”是最新的
  • 将策略重命名为“使用 PHP 的应用服务应用应使用最新的‘PHP 版本’”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 应用服务槽应为 SCM 站点部署禁用本地身份验证方法
  • 将策略重命名为“应用服务应用槽应为 SCM 站点部署禁用本地身份验证方法”
• 应用服务应为 SCM 站点部署禁用本地身份验证方法
  • 将策略重命名为“应用服务应用应为 SCM 站点部署禁用本地身份验证方法”
• 应用服务槽应为 FTP 部署禁用本地身份验证方法
  • 将策略重命名为“应用服务应用槽应为 FTP 部署禁用本地身份验证方法”
• 应用服务应为 FTP 部署禁用本地身份验证方法
  • 将策略重命名为“应用服务应用应为 FTP 部署禁用本地身份验证方法”
• 函数应用应使用 Azure 文件共享作为其内容目录
  • 更新策略范围以包括槽
  • 更新策略范围以排除逻辑应用
• Web 应用应使用 Azure 文件共享作为其内容目录
  • 将策略重命名为“应用服务应用应将 Azure 文件共享用于其内容目录”
  • 更新策略范围以包括槽
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 应仅在函数应用中要求使用 FTPS
  • 将策略重命名为“函数应用应只需要 FTPS”
  • 更新策略范围以排除逻辑应用
• 应仅在 Web 应用中要求使用 FTPS
  • 将策略重命名为“应用服务应用应只需要 FTPS”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 确保用作函数应用一部分的“Java 版本”是最新的
  • 将策略重命名为“使用 Java 的函数应用应使用最新的‘Java 版本’”
  • 更新策略范围以排除逻辑应用
• 确保用作 Web 应用一部分的“Java 版本”是最新的
  • 将策略重命名为“使用 Java 的应用服务应用应使用最新的‘Java 版本’”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 应用服务应使用专用链接
  • 将策略重命名为“应用服务应用应使用专用链接”
• 配置应用程序服务以使用专用 DNS 区域
  • 将策略重命名为“将应用服务应用配置为使用专用 DNS 区域”
• 应将应用服务应用注入虚拟网络
  • 将策略重命名为“应用服务应用应注入虚拟网络”
  • 更新策略范围以包括槽
• 确保用于运行 Web 应用的“HTTP 版本”是最新的
  • 将策略重命名为“应用服务应用应使用最新的‘HTTP 版本’”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 确保用于运行函数应用的“HTTP 版本”是最新的
  • 将策略重命名为“函数应用应使用最新的‘HTTP 版本’”
  • 更新策略范围以排除逻辑应用
• 应在 Web 应用中使用最新的 TLS 版本
  • 将策略重命名为“应用服务应用应使用最新的 TLS 版本”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
• 应在函数应用中使用最新的 TLS 版本
  • 将策略重命名为“函数应用应使用最新的 TLS 版本”
  • 更新策略范围以排除逻辑应用
• 应用服务环境应禁用 TLS 1.0 和1.1
  • 将策略重命名为“应用服务环境应禁用 TLS 1.0 和 1.1”
• 应启用应用服务中的资源日志
  • 将策略重命名为“应用服务应用应启用资源日志”
• 应在 Web 应用上启用身份验证
  • 将策略重命名为“应用服务应用应启用身份验证”
• 应在函数应用上启用身份验证
  • 将策略重命名为“函数应用应启用身份验证”
  • 更新策略范围以排除逻辑应用
• 应用服务环境应启用内部加密
  • 将策略重命名为“应用服务环境应启用内部加密”
• 只应通过 HTTPS 访问函数应用
  • 更新策略范围以排除逻辑应用
• 应用服务应使用虚拟网络服务终结点
  • 将策略重命名为“应用服务应用应使用虚拟网络服务终结点”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型

2022 年 6 月

• 弃用策略“只应通过 HTTPS 访问 API 应用”
• 只能通过 HTTPS 访问 Web 应用程序
  • 将策略重命名为“只应通过 HTTPS 访问应用服务应用”
  • 更新策略范围以包括除函数应用以外的其他所有应用类型
  • 更新策略范围以包括槽
• 只应通过 HTTPS 访问函数应用
  • 更新策略范围以包括槽
• 应用服务应用应使用支持专用链接的 SKU
  • 更新策略逻辑以包括对应用服务计划层或名称的检查，使该策略支持 Terraform 部署
  • 更新受支持策略 SKU 的列表以包括基本和标准层

后续步骤

• 在 Azure Policy GitHub 存储库中查看这些内置项。
• 查看 Azure Policy 定义结构。
• 查看了解策略效果。