Azure 應用服務自動縮放 - 處理新的出站 IP

Question

我想知道人們如何處理使用自動縮放配置 Azure Web 應用程序的情況，該應用程序依賴於已配置 IP 白名單的服務。

例如，假設我有一個網站（Web A）和另一個提供 API 的應用服務（App B）。 我想在 App B 上設置防火牆規則，以便 Web A 只能使用 IP 白名單訪問它。

在這種情況下，如果 Web A 滿足 Auto-Scale 規則，則新擴展的實例有可能具有不同的出站 IP（根據我對文檔的理解，至少有可能收到不同的出站 IP）。 我如何確保 App B 包含這個新的出站 IP？

在這種情況下，我們已經有了用戶名/密碼身份驗證，但作為額外的安全層，我還想配置 IP 白名單。

Answer 1

如果Web A滿足自動擴展規則，則新擴展的實例可能會具有不同的出站IP [...]

否。所有向外擴展操作都在擴展單元（標記）內進行，這意味着所有實例都使用相同的出站IP地址。

使用OAuth 2.0客戶端憑據授予 （訪問令牌）或X509客戶端證書來保護您的服務以進行服務調用。 IP地址方式不是限制訪問的非常雲化的方式，您應該在雲中將IP地址視為臨時性的，並在OSI模型中處理更高層的訪問。

Answer 2

剛剛有同樣的問題，最近在文檔中發現了這一點：

鏈接到微軟文檔

所以簡而言之：如果你橫向擴展它應該工作，如果你在應用服務計划層之間擴展，出站 IP 地址將會改變

Answer 3

您在此處描述的正是該服務的工作方式。

沒有辦法確切告訴您來自哪個IP的API請求。 該Web應用程序可能會在不另行通知的情況下將該應用程序轉移到其他實例，因此請求將來自該實例。

但是，還有其他方法可以保護您的API。

我建議您先看看在API的前面添加AzureAD授權，並要求所有請求都必須經過授權才能與API進行交互。

參見例如如何

• 在具有登錄用戶權限的情況下調用Web API ，或者
• 調用具有應用程序權限的Web API