安全性框架：通訊安全性 |風險降低

使用 SSL/TLS 保護事件集線器的安全通訊

檢查服務帳戶許可權，並檢查自定義服務或 ASP.NET 頁面是否遵守CRM的安全性

在將內部部署 SQL Server 連線到 Azure Data Factory 時，使用數據管理閘道

確定所有對 Identity Server 的流量都是透過 HTTPS 連線

驗證用來驗證 SSL、TLS 和 DTLS 連線的 X.509 憑證

在 Azure App Service 中設定自訂網域的 TLS/SSL 憑證

透過 HTTPS 連線強制所有流量至 Azure App Service

範例

下列範例包含基本 URL 重寫規則，強制所有連入流量使用 HTTPS

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Force HTTPS" enabled="true">
          <match url="(.*)" ignoreCase="false" />
          <conditions>
            <add input="{HTTPS}" pattern="off" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

當使用者使用 HTTP 要求頁面時，此規則的運作方式是傳回 HTTP 狀態代碼 301 （永久重新導向）。 301 會將要求重新導向至訪客所要求的相同 URL，但會將其中的 HTTP 部分替換為 HTTPS。 例如， HTTP://contoso.com 會重新導向至 HTTPS://contoso.com。

開啟 HTTP 嚴格傳輸安全性 （HSTS）

確定 SQL Server 連線加密和憑證驗證

強制加密與 SQL Server 的通訊

確定與 Azure 記憶體的通訊是透過 HTTPS

如果無法啟用 HTTPS，請在下載 Blob 之後驗證 MD5 哈希

使用SMB 3.x 相容客戶端來確保將數據加密傳輸至 Azure 檔案共用

實施憑證固定

範例

using System;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography;

namespace CertificatePinningExample
{
    class CertificatePinningExample
    {
        /* Note: In this example, we're hardcoding the certificate's public key and algorithm for 
           demonstration purposes. In a real-world application, this should be stored in a secure
           configuration area that can be updated as needed. */

        private static readonly string PINNED_ALGORITHM = "RSA";

        private static readonly string PINNED_PUBLIC_KEY = "3082010A0282010100B0E75B7CBE56D31658EF79B3A1" +
            "294D506A88DFCDD603F6EF15E7F5BCBDF32291EC50B2B82BA158E905FE6A83EE044A48258B07FAC3D6356AF09B2" +
            "3EDAB15D00507B70DB08DB9A20C7D1201417B3071A346D663A241061C151B6EC5B5B4ECCCDCDBEA24F051962809" +
            "FEC499BF2D093C06E3BDA7D0BB83CDC1C2C6660B8ECB2EA30A685ADE2DC83C88314010FFC7F4F0F895EDDBE5C02" +
            "ABF78E50B708E0A0EB984A9AA536BCE61A0C31DB95425C6FEE5A564B158EE7C4F0693C439AE010EF83CA8155750" +
            "09B17537C29F86071E5DD8CA50EBD8A409494F479B07574D83EDCE6F68A8F7D40447471D05BC3F5EAD7862FA748" +
            "EA3C92A60A128344B1CEF7A0B0D94E50203010001";


        public static void Main(string[] args)
        {
            HttpWebRequest request = (HttpWebRequest)WebRequest.Create("https://azure.microsoft.com");
            request.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
            {
                if (certificate == null || sslPolicyErrors != SslPolicyErrors.None)
                {
                    // Error getting certificate or the certificate failed basic validation
                    return false;
                }

                var targetKeyAlgorithm = new Oid(certificate.GetKeyAlgorithm()).FriendlyName;
                var targetPublicKey = certificate.GetPublicKeyString();
                
                if (targetKeyAlgorithm == PINNED_ALGORITHM &&
                    targetPublicKey == PINNED_PUBLIC_KEY)
                {
                    // Success, the certificate matches the pinned value.
                    return true;
                }
                // Reject, either the key or the algorithm does not match the expected value.
                return false;
            };

            try
            {
                var response = (HttpWebResponse)request.GetResponse();
                Console.WriteLine($"Success, HTTP status code: {response.StatusCode}");
            }
            catch(Exception ex)
            {
                Console.WriteLine($"Failure, {ex.Message}");
            }
            Console.WriteLine("Press any key to end.");
            Console.ReadKey();
        }
    }
}

啟用 HTTPS - 安全傳輸通道

WCF：將訊息安全性保護層級設定為 EncryptAndSign

範例

設定服務及操作，以僅簽署訊息，如以下範例所示。 服務合約範例 ProtectionLevel.Sign：以下是在服務合約層級使用 ProtectionLevel.Sign 的範例：

[ServiceContract(Protection Level=ProtectionLevel.Sign] 
public interface IService 
  { 
  string GetData(int value); 
  } 

範例

作業合約範例 ProtectionLevel.Sign （適用於細微控制）：以下是在 OperationContract 層級使用 ProtectionLevel.Sign 的範例：

[OperationContract(ProtectionLevel=ProtectionLevel.Sign] 
string GetData(int value);

WCF：使用最低許可權的帳戶來執行 WCF 服務

將所有流量強制透過 HTTPS 連線至 Web API

範例

下列程式代碼顯示檢查 TLS 的 Web API 驗證篩選器：

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }
}

將此篩選新增至任何需要 TLS 的 Web API 動作：

public class ValuesController : ApiController
{
    [RequireHttps]
    public HttpResponseMessage Get() { ... }
}

確定與 Azure Cache for Redis 的通訊是透過 TLS

請注意，Redis 的設計目的是要由受信任環境中的受信任用戶端存取。 通常不建議將 Redis 執行個體直接公開至網際網路，或一般而言，公開至不受信任的用戶端可以直接存取 Redis TCP 連接埠或 UNIX 套接字的環境。

裝置到現場閘道的安全通訊

使用 SSL/TLS 加密裝置到雲端網關的通訊