限制来自 Blob 存储中静态网站的 Azure 函数调用？

Question

我们在 Azure Functions 中有多个函数，其中一些被托管在 blob 存储上的网页使用。

我希望网页（blob 存储）使用的函数限制调用，因此它们只能被网页调用，而不能被其他任何人调用。这样的事情可能吗？

我找到了通过 IP 限制访问的选项，但网页几乎在任何计算机上都有不同的 IP，所以这个选项似乎不是一个好的解决方案。

好的解决方案是限制从域名调用函数，但 Azure 中没有此选项。

有人有其他想法吗？

Answer 1

您可以通过两种方式实现：

1.如果您在函数应用中有少量函数，那么这种快速且简单且便宜的方法

您可以通过在您的函数应用中启用 CORS 并指定可以访问您的函数应用（及其函数）的域列表来实现此目的。

执行此操作的步骤：

1. 转到 Azure 中的函数应用资源
2. 在 API 菜单下选择 CORS
3. 选中提供“启用访问控制允许凭据”选项的复选框
4. 指定要允许访问的域或域列表
5. 保存

跨域资源共享 (CORS) 允许 JavaScript 代码在 外部主机上的浏览器与您的后端交互。指定 应该允许进行跨域调用的源（对于 例如：http://example.com:12345)。要允许所有，请使用“*”并删除 列表中的所有其他来源。斜杠不允许作为 域或 TLD 之后。

2。如果您有更多预算并且您的功能是大型企业应用程序的一部分，则这种方法更安全

1. 在您的函数应用前面部署一个新的 Azure API 管理实例。 (https://docs.microsoft.com/en-us/azure/api-management/import-function-app-as-api)

2. 使用 APIM 服务标签对您的函数应用进行安全访问限制，以仅允许从 APIM 访问并拒绝所有其他流量（在此处阅读更多信息：https://docs.microsoft.com/en-us/azure/app-service/app-service-ip-restrictions）

1. 完成第 1 步和第 2 步后，您的函数应用将无法直接访问。您（或其他任何人）只能使用订阅密钥通过 APIM 访问它。 （信息： https://docs.microsoft.com/en-us/learn/modules/publish-manage-apis-with-azure-api-management https://docs.microsoft.com/en-us/learn/modules/control-authentication-with-apim/)

2. 在 APIM 中启用 CORS (https://docs.microsoft.com/en-us/azure/api-management/api-management-cross-domain-policies#CORS)

如您所见，APIM 为您提供了额外的保护层，您可以在其中按域进行限制，除此之外，仅允许提供订阅密钥访问您的函数的请求。您可以随时撤销和重新生成这些密钥，以确保恶意用户无法访问您的函数应用。您还可以配置诸如速率限制之类的东西来防止 DDOS 攻击。

PS：估计你也会觉得这个答案很有趣。恶意用户可以欺骗 CORS。但是，将您的函数应用程序保护在 APIM 实例后面将为您提供更高的安全性。取决于您希望应用程序的安全级别与预算 - What's to stop malicious code from spoofing the "Origin" header to exploit CORS?

您可以遵循 Azure 的 APIM 安全基线建议，通过 APIM 进一步保护您的函数应用： https://docs.microsoft.com/en-us/security/benchmark/azure/baselines/api-management-security-baseline