Deshabilitación de la autenticación básica en implementaciones de Azure App Service

En este artículo se describe cómo deshabilitar la autenticación básica de nombre de usuario y contraseña para implementar código en aplicaciones de Azure App Service. En el artículo se explican varias maneras de deshabilitar la autenticación básica, los métodos de implementación alternativos, si los hay, y cómo supervisar los intentos de acceso a la autenticación básica.

App Service proporciona autenticación básica para los clientes FTP y Web Deploy, permitiéndoles conectarse mediante credenciales de implementación usando nombre de usuario y contraseña. Las API de autenticación básicas son buenas para explorar el sistema de archivos del sitio, cargar controladores y utilidades e implementar con MSBuild. Para más información, consulte Configuración de credenciales de implementación para Azure App Service.

Las empresas suelen requerir métodos de implementación más seguros que la autenticación básica, como el id. de Microsoft Entra. Los tokens de acceso de Microsoft Entra OAuth 2.0 tienen una duración útil limitada, son específicas de las aplicaciones y los recursos para los que se emiten y no se pueden reutilizar. La autorización basada en tokens de OAuth ayuda a mitigar muchos problemas con la autenticación básica.

Microsoft Entra también le permite implementar desde otros servicios de Azure mediante identidades administradas. Para más información, consulte Tipos de autenticación por método de implementación en Azure App Service.

Prerrequisitos

• Para deshabilitar la autenticación básica para el acceso FTP a una aplicación, debe tener acceso de nivel de propietario a la aplicación.
• Para crear y asignar un rol para evitar que los usuarios con privilegios inferiores habiliten la autenticación básica, debe tener permisos de propietario o administrador de acceso de usuario en la suscripción.

Deshabilitación de la autenticación básica

Para la implementación de FTP, la autenticación básica se controla mediante la basicPublishingCredentialsPolicies/ftp marca o la opción del portal de credenciales de publicación de autenticación básica de FTP.

Para otros métodos de implementación que usan la autenticación básica, como Visual Studio, Git local y GitHub, la autenticación básica se controla mediante el basicPublishingCredentialsPolicies/scm indicador o la opción del portal Credenciales de Publicación de Autenticación Básica de SCM.

Para deshabilitar la autenticación básica:

az resource update --resource-group <group-name> --name ftp --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

az resource update --resource-group <resource-group> --name scm --namespace Microsoft.Web --resource-type basicPublishingCredentialsPolicies --parent sites/<app-name> --set properties.allow=false

Para confirmar que el acceso FTP está bloqueado, intente conectarse a la aplicación mediante FTP/FTPS. Debería obtener un mensaje 401 Sin autenticar .

Para confirmar que el acceso a Git está bloqueado, pruebe la implementación local de Git. Debería obtener un mensaje de error de autenticación .

Implementación sin autenticación básica

Al deshabilitar la autenticación básica, los métodos de implementación que dependen de la autenticación básica ya no funcionan. Algunos métodos de implementación tienen mecanismos de implementación de reserva.

En la tabla siguiente se muestra cómo se comportan varios métodos de implementación cuando se deshabilita la autenticación básica y el mecanismo de reserva si existe. Para más información, consulte Tipos de autenticación por métodos de implementación en Azure App Service.

Creación de un rol personalizado para evitar la habilitación de la autenticación básica

Para evitar que los usuarios con privilegios inferiores habiliten la autenticación básica para cualquier aplicación, puede crear un rol personalizado y asignar los usuarios al rol.

az role definition create --role-definition '{
    "Name": "<role-name>",
    "IsCustom": true,
    "Description": "Prevents users from enabling basic authentication for all App Service apps or slots.",
    "NotActions": [
        "Microsoft.Web/sites/basicPublishingCredentialsPolicies/Write",
        "Microsoft.Web/sites/slots/basicPublishingCredentialsPolicies/Write"
    ],
    "AssignableScopes": ["/subscriptions/<subscription-guid>"]
}'

Supervisión de los intentos de autenticación básicos

Todos los inicios de sesión correctos e intentados se registran en el tipo de registro de Azure Monitor AppServiceAuditLogs. Para auditar los inicios de sesión intentados y exitosos en FTP y Web Deploy, siga los pasos descritos en Envío de registros a Azure Monitor y habilite el envío del AppServiceAuditLogs tipo de registro.

Para confirmar que los registros se envían a los servicios seleccionados, pruebe a iniciar sesión a través de FTP o Web Deploy. En el ejemplo siguiente se muestra un registro de cuenta de almacenamiento.

{
  "time": "2023-10-16T17:42:32.9322528Z",
  "ResourceId": "/SUBSCRIPTIONS/aaaa0a0a-bb1b-cc2c-dd3d-eeeeee4e4e4e/RESOURCEGROUPS/MYRESOURCEGROUP/PROVIDERS/MICROSOFT.WEB/SITES/MY-DEMO-APP",
  "Category": "AppServiceAuditLogs",
  "OperationName": "Authorization",
  "Properties": {
    "User": "$my-demo-app",
    "UserDisplayName": "$my-demo-app",
    "UserAddress": "24.19.191.170",
    "Protocol": "FTP"
  }
}

Uso de directivas básicas relacionadas con la autenticación

Azure Policy puede ayudarle a aplicar los estándares de la organización y evaluar el cumplimiento a escala. Puede usar Azure Policy para auditar cualquier aplicación que siga usando la autenticación básica y corregir los recursos no compatibles. En la lista siguiente se muestran directivas integradas para auditar y corregir la autenticación básica en App Service:

• Directiva de auditoría para FTP
• Directiva de auditoría para SCM
• Directiva de corrección para FTP
• Política de corrección para la gestión de la cadena de suministro

En la lista siguiente se muestran las directivas correspondientes para las ranuras:

• Directiva de auditoría para FTP
• Directiva de auditoría para SCM
• Directiva de corrección para FTP
• Política de corrección para la gestión de la cadena de suministro

Contenido relacionado

• Tipos de autenticación por método de implementación en Azure App Service
• Configuración de la implementación continua en Azure App Service
• Implementación en Azure App Service mediante Acciones de GitHub
• Implementación en Azure App Service mediante Git localmente
• Implementación de la aplicación en Azure App Service mediante FTP/S