关于Azure中Zero Trust战略在Web App中的实现

Question

背景：
我想要了解在微软Azure中，部署IaaS VM Web server或者PaaS网站（Web App）的前提下，如何使其满足Zero Trust的策略。
Web App面向Internet，面向其的请求类型基本为Http/Https。
考虑到网页服务器基本还需要数据库，Redis Cache，Blob Storage等功能，另外IaaS维护人员可能要考虑使用Bastion，PaaS的话是否需要使用App Service for containers?

我需要3-4种不同的可行的架构，并分别了解架构部署的考虑和优缺点。
希望能够附带简易的架构图并在会议进行讲解，谢谢！
#我希望能够以Teams或者其他线上会议形式进行交付，悬赏金额视情况可以追加，敬请知悉！

我参考了以下文档，
使用AzureFirewall以及Application Gateway有多种组合，逻辑上部署的顺序会有什么影响我已经基本了解了。
https://learn.microsoft.com/zh-cn/azure/architecture/example-scenario/gateway/application-gateway-before-azure-firewall
https://learn.microsoft.com/zh-cn/azure/networking/create-zero-trust-network-web-apps

我认为Entra Application Proxy或者Private Access不适合这种面向公众的web server，这个理解没问题吗？
https://learn.microsoft.com/zh-cn/entra/identity/app-proxy/overview-what-is-app-proxy

期待各位专家的联系！
#GPT复制粘贴的敬谢不敏，基本不予采纳

Answer 1

该回答引用ChatGPT4o, 如有帮助，还请采纳。

Azure中Zero Trust战略在Web App中的实现

背景

在Azure中实现Zero Trust策略的前提下，部署IaaS VM Web服务器或PaaS网站（Web App）时，确保所有请求和通信都是经过验证和授权的。Zero Trust强调“永不信任，始终验证”的原则，不管是在内部网络还是外部网络，所有访问请求都需要进行验证。

可行的架构方案

方案一：IaaS VM Web Server + Azure Firewall + Application Gateway

1. 架构图
   

   

2. 架构描述

   • Azure Firewall：用于过滤进入网络的流量，提供网络级别的安全性。
   • Application Gateway：作为Web流量的前端，处理应用层的负载均衡，并提供Web应用防火墙（WAF）功能。
   • IaaS VM：部署Web服务器，承载Web应用。
   • 网络安全组（NSG）：用于限制虚拟网络内部的流量。

3. 优点

   • 高级的网络和应用层安全性。
   • 可以灵活配置和扩展。
   • 能够利用Azure Firewall和Application Gateway的组合，实现更强的安全防护。

4. 缺点

   • 配置复杂，需要更多的管理和维护。
   • 成本较高。

方案二：PaaS Web App + Application Gateway + Azure Front Door

1. 架构图
   

   

2. 架构描述

   • Azure Front Door：提供全球分布的Web应用加速和负载均衡，处理DDoS防护。
   • Application Gateway：作为区域的Web应用防火墙（WAF），进一步过滤和处理Web流量。
   • Azure Web App（App Service）：部署PaaS级别的Web应用，减少基础设施管理的负担。

3. 优点

   • 简化的管理和维护。
   • 内置的高可用性和全球分布能力。
   • 自动扩展功能。

4. 缺点

   • 灵活性相对较低，依赖Azure的PaaS服务。
   • 部分高级配置可能需要额外的规划和实施。

方案三：PaaS Web App + Azure API Management + Azure Firewall

1. 架构图
   

   

2. 架构描述

   • Azure API Management：提供统一的API网关，管理和保护API。
   • Azure Firewall：过滤所有进入虚拟网络的流量。
   • Azure Web App（App Service）：部署Web应用，简化基础设施管理。

3. 优点

   • 强大的API管理和保护能力。
   • 简化API管理，提升开发效率。
   • 结合Azure Firewall提供的网络级安全性。

4. 缺点

   • 配置复杂度较高。
   • 成本相对较高。

方案四：IaaS VM Web Server + Azure Bastion + Azure Firewall

1. 架构图
   

   

2. 架构描述

   • Azure Bastion：为IaaS VM提供安全的远程管理。
   • Azure Firewall：过滤所有进入网络的流量。
   • IaaS VM：部署Web服务器，承载Web应用。

3. 优点

   • 高级的网络安全性。
   • 提供安全的远程管理。
   • 适用于需要更多控制和自定义配置的场景。

4. 缺点

   • 配置复杂，管理负担较大。
   • 成本较高。

架构部署的考虑

1. 安全性

   • 使用Azure Firewall和Application Gateway的组合来实现网络和应用层的全面保护。
   • 利用Azure Bastion来确保远程管理的安全性。

2. 可扩展性

   • PaaS方案（如Azure Web App）提供自动扩展功能，适合处理大量突发流量。
   • 使用Azure Front Door和Application Gateway来实现全球负载均衡和加速。

3. 管理负担

   • PaaS方案简化了基础设施的管理，适合希望专注于应用开发的团队。
   • IaaS方案提供更多控制和灵活性，但需要更多的管理和维护。

4. 成本

   • 选择合适的方案以平衡安全性和成本。
   • 使用Azure的内置服务（如App Service、API Management）可以减少第三方工具的依赖。

会议讲解

我可以在Microsoft Teams或其他线上会议平台上进行详细讲解，包括架构图的展示和具体实现步骤的解释。如果有任何调整或追加的要求，请随时告知。

如有任何问题或需要进一步讨论，请随时联系我！