Azure网络安全外围（NSP）允许为部署在虚拟网络外部的 PaaS 资源（例如应用配置存储）定义逻辑网络隔离边界。 默认情况下，网络安全外围会限制对外围内的 PaaS 资源的公共网络访问。 但是，可以为入站和出站流量配置显式访问规则。
将应用配置存储与网络安全外围相关联时，可以使用访问规则控制入站和出站流量，使用外围配置文件跨多个 PaaS 资源共享一组常见规则，并通过诊断日志监视网络流量。 有关详细信息，请参阅 为什么使用网络安全外围？
过渡到网络安全外围
与网络安全边界关联的资源支持两种访问模式：过渡和强制。 过渡模式旨在作为一种临时的中间步骤，使你能够采用网络安全边界而不中断现有连接；其方式是：当没有任何边界规则匹配时，回退到应用程序配置存储的现有网络访问规则。 请参阅过渡到 Azure 中的网络安全边界，了解如何使用转换模式顺利采用 NSP。 有关资源关联的访问模式如何与 App Configuration 存储区的公共网络访问设置相互作用的详细说明，请参阅 将新资源移入网络安全边界。
利用网络安全边界实施网络限制
若要通过网络安全边界强制执行网络限制，请确保网络安全边界资源关联处于“强制”模式。 在此模式下，应用配置存储仅允许关联的网络安全外围配置文件允许的入站和出站请求，而不考虑应用配置存储的公共网络访问设置。
专用终结点请求的注意事项
无论网络安全边界的关联模式或配置文件规则如何，通过有效的 专用终结点 向应用配置存储发出的入站请求始终都会被网络安全边界允许。
关于客户管理型密钥加密的注意事项
如果您的应用配置存储使用客户管理的密钥加密，应用配置服务会与 Azure 密钥保管库 资源通信，以确保 CMK 运行流程的正常。 当存储的出站请求受 NSP 规则约束时（公共网络访问由边界保护 or NSP 关联处于强制模式），边界的访问规则必须允许与 Azure 密钥保管库 资源进行出站通信。 若要确保应用配置服务可以继续访问加密密钥，必须通过以下方式之一配置网络安全外围：
- 相同的网络安全边界：将 Azure 密钥保管库 放置在与应用程序配置存储相同的网络安全边界内。 当两个资源位于同一外围时，会自动允许它们之间的通信。
-
基于 FQDN 的出站访问规则：将完全限定域名 (FQDN) 出站访问规则添加到与您的应用程序配置存储关联的网络安全边界配置中。 该规则必须列出保存客户管理的密钥密钥保管库的终结点（例如，
mykeyvault.vault.azure.cn）。
如果这两个条件都不满足，则应用配置存储将无法访问加密密钥，发往该存储的请求将会失败。
监视注意事项
如果你的 App Configuration 存储已通过诊断设置启用监视，则日志目标（例如 Log Analytics 工作区、存储帐户和事件中心）必须与 App Configuration 存储处于同一网络安全外围内。 基于 FQDN 的出站访问规则不适用于监视目标，因此外围外部的任何目标都不会收到诊断数据。
局限性
- 某些网络安全外围功能（如基于订阅的入站访问规则）不适用于 访问密钥身份验证。 使用 Microsoft Entra ID 身份验证获取完整的 NSP 功能。
- 目前，网络安全外围中的应用配置存储无法将事件发送到Azure 事件网格。 如果应用配置存储区配置了 Azure 应用程序配置 事件订阅，则无法将应用商店与网络安全外围相关联。 同样，如果某个存储帐户与网络安全边界相关联，则无法为该存储帐户启用事件订阅。
- 基于订阅和基于 IP 的入站访问规则不适用于通过 部署工具（例如 ARM 模板、Bicep 或 Terraform）发出的数据平面请求的原始调用方。 由于这些请求通过Azure 资源管理器转发到应用配置存储区，因此原始调用方订阅和 IP 地址不会传递到外围进行评估。
Troubleshooting
RP 注册错误
如果将应用配置存储区与应用商店不同的订阅中的网络安全外围相关联，则必须确保网络安全外围的订阅已注册 Microsoft.AppConfiguration 资源提供程序。 如果未注册资源提供程序，则执行关联时会收到以下错误：
无法完成该操作，因为网络安全边界的订阅“<SubscriptionId>”尚未注册使用资源提供程序“Microsoft.AppConfiguration”。 有关注册资源提供程序的说明，请参阅 https://aka.ms/appconfig/NSPTroubleshooting 。
若要解决此错误，请执行以下步骤：
- 在网络安全外围的订阅中注册
Microsoft.AppConfiguration资源提供程序。 - 重新尝试应用程序配置存储与网络安全边界之间的关联。
有关向资源提供程序注册订阅的详细信息，请参阅 “注册资源提供程序”。
客户管理的密钥访问错误
如果应用配置存储区使用 客户管理的密钥加密，则将应用商店与网络安全外围关联时可能会收到以下错误：
无法应用所请求的网络安全边界关联关系，因为这会阻止访问配置存储的客户管理密钥。 请参阅 https://aka.ms/appconfig/NSPTroubleshooting，了解如何为使用客户管理密钥的配置存储配置 NSP 的相关指导。
当网络安全外围的配置会阻止应用配置存储访问保存其客户管理的密钥的Azure 密钥保管库时，会发生此错误。 若要解决此错误，请按 客户管理的密钥加密注意事项 中所述，将网络安全边界配置为允许访问 密钥保管库，然后重新尝试进行关联。