Autenticazione e rete di App Service

Azure App Service offre un modulo di autenticazione e autorizzazione integrato, talvolta chiamato EasyAuth, che gestisce i flussi di accesso, la convalida dei token e la gestione delle sessioni senza richiedere modifiche al codice dell'applicazione. È possibile abilitarlo direttamente nel portale di Azure e scegliere tra diversi provider di identità. Questa soluzione è ideale per aggiungere rapidamente l'autenticazione a un'API o a uno strumento interno senza implementare personalmente i flussi OAuth.

L'autenticazione di App Service supporta nativamente diversi provider di identità: Microsoft Entra ID (per gli accessi aziendali), Google, Facebook, Twitter/X, GitHub e qualsiasi provider compatibile con OpenID Connect. È necessario registrare l'app presso il provider scelto per ottenere un ID client e un segreto, quindi configurare questi valori in App Service. È possibile abilitare più provider contemporaneamente, consentendo agli utenti di scegliere come accedere.

Quando l'autenticazione è abilitata, App Service memorizza i token convalidati nel token store, un archivio persistente per ogni sessione utente. Il codice dell'applicazione può accedere ai claim dell'utente autenticato tramite speciali intestazioni delle richieste HTTP inserite dal modulo EasyAuth: X-MS-CLIENT-PRINCIPAL-NAME (email/UPN), X-MS-CLIENT-PRINCIPAL-ID (ID oggetto) e X-MS-TOKEN-AAD-ACCESS-TOKEN per il token di accesso non elaborato.

VNet Integration consente a un'app App Service di effettuare chiamate in uscita verso risorse all'interno di una rete virtuale di Azure, ad esempio macchine virtuali, database SQL e API interne, senza esporre tali risorse a Internet pubblico. L'app riceve una scheda NIC virtuale in una subnet delegata della VNet e può raggiungere qualsiasi risorsa accessibile dalla VNet, incluse le risorse locali tramite VPN o ExpressRoute. VNet Integration è disponibile a partire dal livello Standard.

Mentre VNet Integration gestisce il traffico in uscita, un endpoint privato gestisce il traffico in entrata, rendendo l'app App Service accessibile solo dall'interno della VNet tramite un indirizzo IP privato. L'accesso esterno a Internet a azurewebsites.net viene bloccato quando un endpoint privato è l'unico metodo di accesso. Questa configurazione viene usata per API interne e portali di amministrazione che non devono mai essere esposti a Internet pubblico.

Le restrizioni di accesso in App Service consentono di definire un elenco di indirizzi IP autorizzati o negati per il traffico in entrata. Le regole vengono valutate in ordine di priorità (il numero più basso indica la priorità più alta). È possibile limitare l'accesso a intervalli IP specifici (ad esempio, l'indirizzo IP di uscita della VPN dell'ufficio), ai tag di servizio di Azure (ad esempio, AzureLoadBalancer) o a subnet VNet specifiche. Utilizzi le restrizioni di accesso per proteggere lo slot di staging, consentendo l'accesso solo all'intervallo IP del team.

Hybrid Connections (di BizTalk) consentono ad App Service di raggiungere risorse locali senza richiedere VNet Integration o un gateway VPN. Un agente relay leggero installato nell'ambiente locale stabilisce una connessione in uscita ad Azure Service Bus; l'app si connette tramite il relay. Hybrid Connections opera a livello TCP e supporta qualsiasi porta, risultando utile per connettersi a database o API locali legacy che non possono essere spostati in Azure.

Assegni un'identità gestita all'app App Service affinché possa eseguire l'autenticazione presso altri servizi Azure (Key Vault, Blob Storage, SQL Database) senza memorizzare credenziali. Azure gestisce automaticamente le credenziali dell'identità. Utilizzi un'identità assegnata dal sistema (legata al ciclo di vita dell'app) oppure un'identità assegnata dall'utente (condivisa tra più app). Assegni all'identità i ruoli RBAC nelle risorse di destinazione.

Cross-Origin Resource Sharing (CORS) controlla quali domini possono effettuare chiamate API basate sul browser verso l'app App Service. Configuri le origini consentite nelle impostazioni CORS: in produzione, per le API autenticate non restituisca il carattere jolly (*). Il supporto CORS integrato di App Service aggiunge automaticamente le intestazioni di risposta Access-Control-Allow-Origin, eliminando nei casi semplici la necessità di un middleware CORS nel codice dell'applicazione.

Un App Service Environment (ASE) è una distribuzione di App Service completamente isolata e dedicata, eseguita all'interno della propria VNet. Offre il massimo livello di isolamento di rete, scalabilità (fino a 200 istanze) e allineamento ai requisiti di conformità. ASE v3 elimina la necessità di un indirizzo IP pubblico dedicato e supporta nativamente gli endpoint privati. Lo svantaggio è il costo significativamente più elevato: ASE è destinato ai carichi di lavoro aziendali con rigorosi requisiti di isolamento.

Per una distribuzione App Service sicura: imponga l'uso esclusivo di HTTPS, utilizzi le restrizioni di accesso per limitare gli IP in entrata, abiliti l'identità gestita per evitare segreti nella configurazione, archivi i segreti in Key Vault con i riferimenti a Key Vault, applichi la versione minima TLS 1.2, abiliti Defender for App Service per il rilevamento delle minacce e analizzi regolarmente le raccomandazioni di Azure Security Center per la risorsa app.

In questa lezione ha appreso che l'autenticazione integrata (EasyAuth) aggiunge l'accesso tramite provider di identità senza modifiche al codice; VNet Integration instrada il traffico in uscita attraverso la rete virtuale, mentre gli endpoint privati limitano il traffico in entrata; infine, l'identità gestita abilita l'autenticazione senza password verso altri servizi Azure. Nella prossima lezione esamineremo Azure Container Registry.