Menonaktifkan autentikasi dasar dalam penyebaran App Service

Artikel ini memperlihatkan kepada Anda cara menonaktifkan autentikasi dasar (autentikasi nama pengguna dan kata sandi) saat menyebarkan kode ke aplikasi App Service.

App Service menyediakan autentikasi dasar untuk klien FTP dan WebDeploy untuk menyambungkannya dengan menggunakan kredensial penyebaran. API ini sangat bagus untuk menelusuri sistem file situs Anda, mengunggah driver dan utilitas, dan menyebarkan dengan MsBuild. Namun, perusahaan sering memerlukan metode penyebaran yang lebih aman daripada autentikasi dasar, seperti autentikasi ID Microsoft Entra (lihat Jenis autentikasi dengan metode penyebaran di Azure App Service). Microsoft Entra menggunakan otorisasi berbasis token OAuth 2.0 dan memiliki banyak manfaat dan peningkatan yang membantu mengurangi masalah dalam autentikasi dasar. Misalnya, token akses OAuth memiliki masa pakai yang dapat digunakan terbatas, dan khusus untuk aplikasi dan sumber daya yang dikeluarkan, sehingga tidak dapat digunakan kembali. Microsoft Entra juga memungkinkan Anda menyebarkan dari layanan Azure lainnya menggunakan identitas terkelola.

Menonaktifkan autentikasi dasar

Tersedia dua kontrol berbeda untuk autentikasi dasar. Khususnya:

• Untuk penyebaran FTP, autentikasi dasar dikontrol oleh basicPublishingCredentialsPolicies/ftp bendera (opsi Kredensial Penerbitan Autentikasi Dasar FTP di portal).
• Untuk metode penyebaran lain yang menggunakan autentikasi dasar, seperti Visual Studio, Git lokal, dan GitHub, autentikasi dasar dikendalikan oleh basicPublishingCredentialsPolicies/scm bendera (opsi Kredensial Penerbitan Autentikasi Dasar SCM di portal).

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Untuk mengonfirmasi bahwa akses FTP diblokir, coba sambungkan ke aplikasi Anda menggunakan FTP/S. Anda harus mendapatkan pesan 401 Unauthenticated .

Untuk mengonfirmasi bahwa akses Git diblokir, coba penyebaran Git lokal. Anda harus mendapatkan pesan Authentication failed .

Penyebaran tanpa autentikasi dasar

Saat Anda menonaktifkan autentikasi dasar, metode penyebaran yang bergantung pada autentikasi dasar berhenti berfungsi.

Tabel berikut menunjukkan bagaimana berbagai metode penyebaran berulah saat autentikasi dasar dinonaktifkan, dan jika ada mekanisme fallback. Untuk informasi selengkapnya, lihat Jenis autentikasi menurut metode penyebaran di Azure App Service.

Membuat peran kustom tanpa izin untuk autentikasi dasar

Untuk mencegah pengguna dengan hak istimewa yang lebih rendah mengaktifkan autentikasi dasar untuk aplikasi apa pun, Anda dapat membuat peran kustom dan menetapkan pengguna ke peran tersebut.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/scm/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/scm/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Memantau upaya autentikasi dasar

Semua proses masuk yang berhasil dan dicoba dicatat ke jenis log Azure Monitor AppServiceAuditLogs . Untuk mengaudit upaya dan keberhasilan login di FTP dan WebDeploy, ikuti langkah-langkah di Mengirim log ke Azure Monitor dan mengaktifkan pengiriman AppServiceAuditLogs jenis log.

Untuk mengonfirmasi bahwa log dikirim ke layanan yang Anda pilih, coba masuk melalui FTP atau WebDeploy. Contoh berikut menunjukkan log Akun Penyimpanan.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Kebijakan terkait autentikasi dasar

Azure Policy dapat membantu Anda menerapkan standar organisasi dan menilai kepatuhan dalam skala besar. Anda dapat menggunakan Azure Policy untuk mengaudit aplikasi apa pun yang masih menggunakan autentikasi dasar, dan memulihkan sumber daya yang tidak patuh. Berikut ini adalah kebijakan bawaan untuk mengaudit dan memulihkan autentikasi dasar di App Service:

• Kebijakan audit untuk FTP
• Kebijakan audit untuk SCM
• Kebijakan remediasi untuk FTP
• Kebijakan remediasi untuk SCM

Berikut ini adalah kebijakan yang sesuai untuk slot:

• Kebijakan audit untuk FTP
• Kebijakan audit untuk SCM
• Kebijakan remediasi untuk FTP
• Kebijakan remediasi untuk SCM

Tanya jawab umum

Mengapa saya mendapatkan peringatan di Visual Studio yang mengatakan bahwa autentikasi dasar dinonaktifkan?

Visual Studio memerlukan autentikasi dasar untuk disebarkan ke Azure App Service. Peringatan mengingatkan Anda bahwa konfigurasi pada aplikasi Anda berubah dan Anda tidak dapat lagi menyebarkannya. Anda sendiri menonaktifkan autentikasi dasar pada aplikasi, atau kebijakan organisasi Anda memberlakukan bahwa autentikasi dasar dinonaktifkan untuk aplikasi App Service.