Azure 应用程序配置的网络安全性

Azure 应用程序配置与Azure的网络安全产品/服务集成，让你应用保护配置数据的网络安全策略。可以限制或禁用应用配置存储与公共 Internet 通信的能力，并且可以通过专用终结点从虚拟网络启用专用访问。

限制或禁用公用网络访问

默认情况下，任何具有有效凭据的客户端都可通过公共 Internet 访问应用配置存储。可以通过两种方式限制或完全禁用公用网络访问：

存储库上的公共网络访问设置。 公共网络访问设置控制存储与公共 Internet 的通信方式。不允许从公共 Internet 进行访问时，客户端必须使用专用终结点进行连接。有关详细信息，请参阅将专用终结点用于 Azure 应用配置。
与网络安全边界的关联。 网络安全外围是一种安全边界，可用于允许来自特定客户端（按 IP 地址、Azure订阅或外围成员身份）的流量，同时阻止所有其他公共流量。该设置还控制来自存储库的出站流量，有助于防止数据外泄。有关详细信息，请参阅Azure 应用配置的网络安全边界。

重要

如果应用配置存储与处于 Enforced 访问模式的网络安全边界相关联，则公共网络访问将完全由网络安全边界控制，并且该存储的公共网络访问设置将被忽略。有关详细信息，请参阅将新资源移到网络安全外围。

客户端可以使用专用终结点从虚拟网络私下访问应用配置存储。专用终结点是由 Azure 专用链接提供支持的网络接口，它通过 Microsoft 主干网络将虚拟网络中的客户端连接到 App Configuration 存储，而无需将流量暴露到公共互联网。

专用终结点独立于配置公共网络访问或网络安全外围的方式工作，因此你可以将它们与公共网络访问设置或网络安全外围相结合，以便深度防御。

应用配置存储区上的公共网络访问设置控制应用商店如何通过公共 Internet 进行通信。它可以具有下列值之一：

自动：在你为该存储创建专用终结点之前，允许来自公共网络的入站访问。专用终结点存在后，将自动禁用入站公用网络访问。允许访问出站公共网络。只能在创建存储区时选择此选项。
已启用：所有网络都可以通过公共 Internet 访问存储。允许访问出站公共网络。
已禁用：已禁用入站公用网络访问。只能通过专用终结点访问应用商店。允许访问出站公共网络。
受外围保护：禁用入站公用网络访问。只有来自私有端点的流量或关联的网络安全边界允许的流量才能访问存储库。出站公共网络访问受关联的网络安全边界管控；如果未关联任何边界，则会拒绝该访问。

如前所述，当存储帐户与处于强制访问模式的网络安全边界相关联时，此设置将被忽略。

有关如何更改此设置的分步说明，请参阅在 Azure 应用配置中禁用公共访问。