Konfigurieren der Azure SQL Server-Firewall - Ermöglicht allen IPs, eine rote Flagge zu verbinden?

Question

Ich habe gerade meinen ersten Azure SQL Server und meine erste Datenbank erstellt und versuche nun, die Firewall so zu konfigurieren, dass meine Webanwendung eine Verbindung herstellen und Änderungen an der einzelnen Datenbank auf dem Server vornehmen kann.

Ich sehe, dass Sie alle Clients, indem eine Regel so verbinden lassen können:

Allerdings ist diese schlechte Praxis? Ich sehe, dass meine Client-IP-Adresse im Azure-Portal aufgeführt ist. Ich kann klären, dass ich nur diesen Zugriff auf eine einzelne IP-Adresse zulassen soll. Später, wenn ich meine Webanwendung für Azure veröffentliche, wird mir eine IP-Adresse zugewiesen Web-App lebt und schränkt nur den Zugriff darauf ein (unter der Annahme, dass Benutzer nur Datenbankänderungen über meine Frontend-Anwendung vornehmen können).

Danke

Answer 1

Ja, das ist schlechte Praxis. Es gibt andere Ebenen, die sie durchkommen müssten (z. B. den Server-Login), aber dies öffnet die Haustür und erlaubt es jedem, sie in ihrer Freizeit auszuwählen.

Wenn Sie einen Web-Server haben, der Ihre Webanwendung auf einem Server hostet (was Sie sein müssen), listen Sie die IP-Adresse des Servers auf (und vielleicht Ihre eigenen für Entwicklungs-/Verwaltungszwecke), aber das Zulassen aller IPs wird nicht als gut angesehen üben, nein.

Ein besonderer Fall, in dem Sie dies möglicherweise zulassen möchten, ist, wenn Sie eine Desktopanwendung an unbekannte Clients verteilen, die eine Verbindung zum Back-End herstellen müssen. Es wird an diesem Punkt sehr verlockend, aber dennoch, die empfohlene Praxis (oder zumindest, meine empfohlene Praxis) würde sein, einen Webdienst zu verwenden, der eine Anwendungsregistrierung beim Start der App akzeptiert, die Client-IP temporär dadurch registrieren und dann einen Hintergrund-Server (denke WebJobs), der die Firewall-Regeln sagt, sagen jede Nacht oder so (oder für eine kompliziertere Setup, akzeptieren Sie die Registrierung mit einem Timeout und verwenden Sie eine kontinuierliche WebJob um die Zeitüberschreitung abzufragen und zu aktualisieren/widerrufen wenn nötig)