Azure 应用服务自动缩放 - 处理新的出站 IP

Question

我想知道人们如何处理使用自动缩放配置 Azure Web 应用程序的情况，该应用程序依赖于已配置 IP 白名单的服务。

例如，假设我有一个网站（Web A）和另一个提供 API 的应用服务（App B）。 我想在 App B 上设置防火墙规则，以便 Web A 只能使用 IP 白名单访问它。

在这种情况下，如果 Web A 满足 Auto-Scale 规则，则新扩展的实例有可能具有不同的出站 IP（根据我对文档的理解，至少有可能收到不同的出站 IP）。 我如何确保 App B 包含这个新的出站 IP？

在这种情况下，我们已经有了用户名/密码身份验证，但作为额外的安全层，我还想配置 IP 白名单。

Answer 1

如果Web A满足自动扩展规则，则新扩展的实例可能会具有不同的出站IP [...]

否。所有向外扩展操作都在扩展单元（标记）内进行，这意味着所有实例都使用相同的出站IP地址。

使用OAuth 2.0客户端凭据授予 （访问令牌）或X509客户端证书来保护您的服务以进行服务调用。 IP地址方式不是限制访问的非常云化的方式，您应该在云中将IP地址视为临时性的，并在OSI模型中处理更高层的访问。

Answer 2

刚刚有同样的问题，最近在文档中发现了这一点：

链接到微软文档

所以简而言之：如果你横向扩展它应该工作，如果你在应用服务计划层之间扩展，出站 IP 地址将会改变

Answer 3

您在此处描述的正是该服务的工作方式。

没有办法确切告诉您来自哪个IP的API请求。 该Web应用程序可能会在不另行通知的情况下将该应用程序转移到其他实例，因此请求将来自该实例。

但是，还有其他方法可以保护您的API。

我建议您先看看在API的前面添加AzureAD授权，并要求所有请求都必须经过授权才能与API进行交互。

参见例如如何

• 在具有登录用户权限的情况下调用Web API ，或者
• 调用具有应用程序权限的Web API