Azure App Service デプロイで基本認証を無効にする

この記事では、Azure App Service アプリにコードをデプロイするための基本的なユーザー名とパスワード認証を無効にする方法について説明します。 この記事では、基本認証を無効にするいくつかの方法、条件に応じたデプロイメントのフォールバック方法、および基本認証に関するアクセス試行を監視する方法について説明します。

App Service では、ユーザー名とパスワードのデプロイ資格情報を使用して接続するための FTP および Web 配置クライアントの基本認証が提供されます。 基本認証 API は、サイトのファイル システムの参照、ドライバーとユーティリティのアップロード、MSBuild での展開に適しています。 詳細については、「 Azure App Service のデプロイ資格情報を構成する」を参照してください。

多くの場合、企業では 、Microsoft Entra ID などの基本認証よりも安全な展開方法が必要です。 Microsoft Entra OAuth 2.0 アクセス トークンの有効期間は制限されており、発行対象のアプリケーションとリソースに固有であり、再利用することはできません。 OAuth トークン ベースの承認は、基本認証に関する多くの問題を軽減するのに役立ちます。

Microsoft Entra では、マネージド ID を使用して他の Azure サービスからデプロイすることもできます。 詳細については、「 Azure App Service でのデプロイ方法による認証の種類」を参照してください。

[前提条件]

• アプリへの FTP アクセスの基本認証を無効にするには、アプリへの所有者レベルのアクセス権が必要です。
• 低い特権を持つユーザーが基本認証を有効にできないようにロールを作成して割り当てるには、サブスクリプションの 所有者 または ユーザー アクセス管理者 のアクセス許可が必要です。

基本認証を無効にする

FTP デプロイの場合、基本認証は、basicPublishingCredentialsPolicies/ftp フラグまたは FTP 基本認証発行資格情報ポータル オプションによって制御されます。

Visual Studio、ローカル Git、GitHub などの基本認証を使用するその他のデプロイ方法では、基本認証は basicPublishingCredentialsPolicies/scm フラグまたは SCM 基本認証発行資格情報 ポータル オプションによって制御されます。

基本認証を無効にするには:

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

FTP アクセスがブロックされていることを確認するには、 FTP/FTPS を使用してアプリに接続してみてください。 認証されていない 401 メッセージが表示されます。

Git アクセスがブロックされていることを確認するには、ローカル Git デプロイを試してみてください。 認証に失敗したメッセージが表示されます。

基本認証なしでデプロイする

基本認証を無効にすると、基本認証に依存する展開方法は機能しなくなります。 一部のデプロイ方法には、フォールバック デプロイ メカニズムがあります。

次の表は、基本認証が無効になっている場合のさまざまな展開方法と、フォールバック メカニズムがある場合の動作を示しています。 詳細については、「Azure App Service でのデプロイ方法別の認証の種類」を参照してください。

基本認証を有効にしないようにカスタム ロールを作成する

低い特権を持つユーザーが任意のアプリに対して基本認証を有効にできないようにするには、カスタム ロールを作成し、そのユーザーをロールに割り当てます。

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

基本認証の試行を監視する

成功したおよび試行されたログインはすべて、Azure Monitor AppServiceAuditLogs ログの種類に記録されます。 FTP と Web Deploy でのログインの試行と成功を監査するには、「 ログを Azure Monitor に送信する 」の手順に従って、 AppServiceAuditLogs ログの種類の配布を有効にします。

選択したサービスにログが出荷されていることを確認するには、FTP または Web Deploy を使用してログインしてみてください。 次の例は、ストレージ アカウント ログを示しています。

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

基本認証関連のポリシーを使用する

Azure Policy は 、組織の標準を適用し、大規模なコンプライアンスを評価するのに役立ちます。 Azure Policy を使用して、基本認証を引き続き使用するすべてのアプリを監査し、準拠していないリソースを修復することができます。 次の一覧は、App Service での基本認証の監査と修復のための組み込みのポリシーを示しています。

• FTP の監査ポリシー
• SCM の監査ポリシー
• FTP の修復ポリシー
• SCM の修復ポリシー

次の一覧は、スロットの対応するポリシーを示しています。

• FTP の監査ポリシー
• SCM の監査ポリシー
• FTP の修復ポリシー
• SCM の修復ポリシー

関連コンテンツ

• Azure App Service でのデプロイ方法による認証の種類
• Azure App Service への継続的デプロイを構成する
• GitHub Actions を使用して Azure App Service にデプロイする
• Git をローカルで使用して Azure App Service にデプロイする
• FTP/S を使用した Azure App Service へのアプリのデプロイ