Azure 应用服务 - 如何禁用弱密码？

Question

我有一个作为 Azure 应用服务运行的 Web 应用程序。我们最近进行了一次安全审查，它强调可以使用弱密码，应该禁用这些密码。密码是：

• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
• TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA
• TLS_RSA_WITH_AES_256_GCM_SHA384
• TLS_RSA_WITH_AES_256_CBC_SHA256
• TLS_RSA_WITH_AES_256_CBC_SHA
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256
• TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA
• TLS_RSA_WITH_AES_128_GCM_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA256
• TLS_RSA_WITH_AES_128_CBC_SHA

我已经看到可以通过创建一个独立的应用程序服务（https://docs.microsoft.com/en-us/azure/app-service/environment/app-service-app-service-environment-custom -settings#change-tls-cipher-suite-order）。但这增加了显着的费用和复杂性。是否可以在不需要隔离的应用程序服务的情况下禁用这些功能？

Answer 1

目前，有 3 种可能的方法来删除弱密码：

应用服务环境 - 这使你可以通过 Azure 资源管理器 - 更改 TLS 密码套件顺序访问设置自己的密码。我复制了这个，发现可以通过修改 clusterSettings 来设置自己的密码或更改密码套件顺序，如下所示：

使用 Azure FrontDoor – 您可以通过 Azure 门户在自定义域 HTTPS 设置中的 Azure Front Door 中配置最低 TLS 版本。配置 TLS1.2 后，仅支持以下强密码套件：

TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384

TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256

TLS_DHE_RSA_WITH_AES_256_GCM_SHA384

TLS_DHE_RSA_WITH_AES_128_GCM_SHA256

您可以在此处找到更多信息 - Front Door TLS 配置。

使用应用程序网关 – 这使您可以指定适合组织安全要求并有助于满足合规性要求的中央 TLS 策略。TLS 策略包括对 TLS 协议版本以及密码套件的控制以及在 TLS 握手期间使用密码的顺序，如下所示 -应用程序网关 SSL 策略概述