Deaktivieren der Standardauthentifizierung in App Service-Bereitstellungen

In diesem Artikel wird erläutert, wie Sie die Standardauthentifizierung (Authentifizierung per Benutzername und Kennwort) beim Bereitstellen von Code für App Service-Apps deaktivieren.

App Service stellt Standardauthentifizierung für FTP- und WebDeploy-Clients bereit, um mithilfe von Bereitstellungsanmeldeinformationen eine Verbindung damit herzustellen. Diese APIs eignen sich hervorragend zum Durchsuchen des Dateisystems Ihrer Website, zum Hochladen von Treibern und Dienstprogrammen und zum Bereitstellen mit MsBuild. Unternehmen erfordern jedoch häufig sicherere Bereitstellungsmethoden als die Standardauthentifizierung, z. B. Authentifizierung per Microsoft Entra ID (siehe Authentifizierungstypen nach Bereitstellungsmethoden in Azure App Service). Microsoft Entra verwendet die tokenbasierte OAuth 2.0-Autorisierung und bietet viele Vorteile und Verbesserungen, die dazu beitragen, die Probleme bei der Standardauthentifizierung zu beheben. OAuth-Zugriffstoken haben beispielsweise eine begrenzte Lebensdauer für die Nutzung und sind spezifisch für die Anwendungen und Ressourcen, für die sie ausgestellt werden, sodass sie nicht wiederverwendet werden können. Mit Microsoft Entra können Sie auch mithilfe verwalteter Identitäten aus anderen Azure-Diensten bereitstellen.

Deaktivieren der Standardauthentifizierung

Es stehen zwei verschiedene Steuerelemente für die Standardauthentifizierung zur Verfügung. Speziell:

• Bei der FTP-Bereitstellung wird die Standardauthentifizierung durch das basicPublishingCredentialsPolicies/ftp-Flag (Option Veröffentlichungsanmeldeinformationen für die FTP-Standardauthentifizierung im Portal) gesteuert.
• Bei anderen Bereitstellungsmethoden, welche die Standardauthentifizierung verwenden, z. B. Visual Studio, lokales Git und GitHub, wird die Standardauthentifizierung durch das basicPublishingCredentialsPolicies/scm-Flag (Option Veröffentlichungsanmeldeinformationen für die SCM-Standardauthentifizierung im Portal) gesteuert.

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Um zu bestätigen, dass der FTP-Zugriff blockiert ist, versuchen Sie, eine Verbindung mit Ihrer App mithilfe von FTP/S herzustellen. Es sollte die Meldung 401 Unauthenticted angezeigt werden.

Um zu bestätigen, dass der Git-Zugriff blockiert ist, versuchen Sie eine lokale Git-Bereitstellung. Es sollte die Meldung Authentication failed angezeigt werden.

Bereitstellung ohne Standardauthentifizierung

Wenn Sie die Standardauthentifizierung deaktivieren, funktionieren Bereitstellungsmethoden, die auf der Standardauthentifizierung basieren, nicht mehr.

In der folgenden Tabelle wird gezeigt, wie sich verschiedene Bereitstellungsmethoden verhalten, wenn die Standardauthentifizierung deaktiviert ist und ob ein Fallbackmechanismus vorhanden ist. Weitere Informationen finden Sie unter Authentifizierungstypen nach Bereitstellungsmethoden in Azure App Service.

Erstellen einer benutzerdefinierten Rolle ohne Berechtigungen für die Standardauthentifizierung

Um zu verhindern, dass Benutzer*innen mit niedrigeren Berechtigungen die Standardauthentifizierung für eine App aktivieren, können Sie eine benutzerdefinierte Rolle erstellen und Benutzer*innen die Rolle zuweisen.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/scm/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/ftp/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/scm/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Überwachen von versuchter Standardauthentifizierung

Alle erfolgreichen und versuchten Anmeldungen werden beim im Protokolltyp AppServiceAuditLogs von Azure Monitor protokolliert. Um die versuchten und erfolgreichen Anmeldungen bei FTP und WebDeploy zu überwachen, führen Sie die Schritte unter Senden von Protokollen an Azure Monitor aus, und aktivieren Sie den Versand des Protokolltyps AppServiceAuditLogs.

Um zu bestätigen, dass die Protokolle an die ausgewählten Dienste gesendet werden, versuchen Sie, sich über FTP oder WebDeploy anzumelden. Im folgenden Beispiel wird ein Speicherkontoprotokoll gezeigt:

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/EF90E930-9D7F-4A60-8A99-748E0EEA69DE/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Richtlinien im Zusammenhang mit der Standardauthentifizierung

Azure Policy unterstützt Sie bei der Erzwingung von Organisationsstandards sowie bei der Bewertung der Compliance im großen Stil. Sie können Azure Policy verwenden, um alle Apps zu überwachen, die weiterhin die Standardauthentifizierung verwenden, und alle nicht konformen Ressourcen zu behandeln. Im Folgenden sind integrierte Richtlinien für die Überwachung und Behandlung der Standardauthentifizierung für App Service aufgeführt:

• Überwachungsrichtlinie für FTP
• Überwachungsrichtlinie für SCM
• Wartungsrichtlinie für FTP
• Wartungsrichtlinie für SCM

Im Folgenden sind die entsprechenden Richtlinien für Slots aufgeführt:

• Überwachungsrichtlinie für FTP
• Überwachungsrichtlinie für SCM
• Wartungsrichtlinie für FTP
• Wartungsrichtlinie für SCM

Häufig gestellte Fragen

Warum erhalte ich eine Warnung in Visual Studio, die besagt, dass die Standardauthentifizierung deaktiviert ist?

Visual Studio erfordert die Standardauthentifizierung für die Bereitstellung in Azure App Service. Die Warnung erinnert Sie daran, dass sich die Konfiguration in Ihrer App geändert hat und Sie nicht mehr dafür bereitstellen können. Sie haben die Standardauthentifizierung für die App selbst deaktiviert, oder Ihre Organisationsrichtlinie erzwingt, dass die Standardauthentifizierung für App Service-Apps deaktiviert ist.