客户端与 Azure 事件网格 资源之间的通信通过传输层安全（TLS）进行加密。 有关TLS的信息，请参见 传输层安全性。
对于事件网格 Basic 自定义主题、域和合作伙伴命名空间，你可以配置对入站客户端请求接受的最低 TLS 版本。 将最低 TLS 版本配置为 1.2 时，客户端必须使用 TLS 1.2 或服务支持的更高版本协议。 将最低版本配置为 TLS 1.3 时，客户端必须使用 TLS 1.3。 Event Grid 不接受使用低于配置最低协议版本的请求。
API版本 2026-06-15-preview 默认TLS最低版本为TLS 1.2，拒绝TLS 1.0和TLS 1.1。 在这个API版本中，你可以显式配置TLS 1.3作为最低要求。 TLS 1.3 不是默认，现有资源也不会自动配置为需要 TLS 1.3。 这种行为是针对 API 版本 2026-06-15-preview 的，不构成对早期 API 版本行为的定义。
服务端点的协议支持和协商不同于资源层级的最低TLS强制执行。 端点可以协商服务支持的协议，事件网格随后根据资源配置的最低TLS版本评估请求。
Important
在配置TLS 1.3为最低TLS版本之前，先确认所有连接到事件网格资源的客户端和服务都支持TLS 1.3。 不支持 TLS 1.3 的客户端无法与需要 TLS 1.3 的资源通信。
主题和领域的权限
要为事件网格主题或域设置 minimumTlsVersionAllowed 属性，您必须拥有创建和管理该资源的权限。 提供这些权限的 Azure 基于角色的访问控制（Azure RBAC）角色包括 Microsoft.EventGrid/topics/write 或 Microsoft.EventGrid/domains/write 操作。 具有这些操作的内置角色包括：
- Azure 资源管理器所有者角色
- Azure 资源管理器贡献者角色
- Azure 事件网格 Contributor 角色
角色分配必须针对事件网格主题或域，或更高层级，以便用户配置其最低TLS版本。 有关角色作用域的详细信息，请参阅了解 Azure RBAC 的作用域。
将这些角色分配限制给需要创建事件网格主题或域或更新其属性的用户。 使用最小权限原则，确保用户只拥有他们所需的权限。 有关详细信息，请参阅 Azure RBAC 的最佳做法。
Note
经典订阅管理员角色“服务管理员”和“共同管理员”具有 Azure 资源管理器所有者角色的等效权限。 所有者角色包含所有操作，因此拥有这些管理角色之一的用户也可以创建和管理事件网格主题或域。 有关详细信息，请参阅 Azure 角色、Microsoft Entra 角色和经典订阅管理员角色。
网络注意事项
当客户端向事件网格主题或域发送请求时，首先会与该端点建立连接。 事件网格在处理请求时会检查资源的最低TLS设置。 如果请求使用的协议版本低于配置的最低值，事件网格会拒绝请求。
考虑以下行为：
- 网络追踪可以显示TCP连接建立和TLS协商成功，然后事件网格会拒绝使用低于配置最低协议版本的请求。
- 端点扫描识别服务端点可以协商的协议。 它不会标明单个主题、域或合作伙伴命名空间上配置的最低TLS版本。
Webhook 交付是独立的
Web Hook 事件订阅有一个单独的最低 TLS 设置，用于从 Event Grid 向 webhook 发送出站事件。 本文描述的资源级设置控制入站请求，并未定义事件网格用来向 webhook 传递事件的协议。
后续步骤
要配置设置，请参见 “配置事件网格主题或域的最小TLS版本”。