安全帧：通信安全 |缓解措施

使用 SSL/TLS 保护与事件中心的通信

检查服务帐户权限，并检查自定义服务或 ASP.NET 页面是否遵循 CRM 的安全性

将本地 SQL Server 连接到 Azure 数据工厂时使用数据管理网关

确保所有发到标识服务器的流量都通过 HTTPS 连接

验证用于对 SSL、TLS 和 DTLS 连接进行身份验证的 X.509 证书

在 Azure 应用服务中为自定义域配置 TLS/SSL 证书

强制所有流量通过 HTTPS 连接进入 Azure 应用服务

示例：

以下示例包含一个基本 URL 重写规则，该规则强制所有传入流量使用 HTTPS

<?xml version="1.0" encoding="UTF-8"?>
<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Force HTTPS" enabled="true">
          <match url="(.*)" ignoreCase="false" />
          <conditions>
            <add input="{HTTPS}" pattern="off" />
          </conditions>
          <action type="Redirect" url="https://{HTTP_HOST}/{R:1}" appendQueryString="true" redirectType="Permanent" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

当用户使用 HTTP 请求页面时，此规则的工作原理是返回 HTTP 状态代码 301（永久重定向）。 301 将请求重定向到与请求的访问者相同的 URL，但将请求的 HTTP 部分替换为 HTTPS。 例如， HTTP://contoso.com 将被重定向到 HTTPS://contoso.com。

启用 HTTP 严格传输安全性（HSTS）

确保 SQL Server 连接加密和证书验证

强制加密与 SQL Server 的通信

确保与 Azure 存储的通信通过 HTTPS 进行

如果无法启用 HTTPS，请在下载 Blob 后验证 MD5 哈希

使用与 SMB 3.x 兼容的客户端，以确保传输到 Azure 文件共享的数据加密。

实现证书固定

示例：

using System;
using System.Net;
using System.Net.Security;
using System.Security.Cryptography;

namespace CertificatePinningExample
{
    class CertificatePinningExample
    {
        /* Note: In this example, we're hardcoding the certificate's public key and algorithm for 
           demonstration purposes. In a real-world application, this should be stored in a secure
           configuration area that can be updated as needed. */

        private static readonly string PINNED_ALGORITHM = "RSA";

        private static readonly string PINNED_PUBLIC_KEY = "3082010A0282010100B0E75B7CBE56D31658EF79B3A1" +
            "294D506A88DFCDD603F6EF15E7F5BCBDF32291EC50B2B82BA158E905FE6A83EE044A48258B07FAC3D6356AF09B2" +
            "3EDAB15D00507B70DB08DB9A20C7D1201417B3071A346D663A241061C151B6EC5B5B4ECCCDCDBEA24F051962809" +
            "FEC499BF2D093C06E3BDA7D0BB83CDC1C2C6660B8ECB2EA30A685ADE2DC83C88314010FFC7F4F0F895EDDBE5C02" +
            "ABF78E50B708E0A0EB984A9AA536BCE61A0C31DB95425C6FEE5A564B158EE7C4F0693C439AE010EF83CA8155750" +
            "09B17537C29F86071E5DD8CA50EBD8A409494F479B07574D83EDCE6F68A8F7D40447471D05BC3F5EAD7862FA748" +
            "EA3C92A60A128344B1CEF7A0B0D94E50203010001";


        public static void Main(string[] args)
        {
            HttpWebRequest request = (HttpWebRequest)WebRequest.Create("https://azure.microsoft.com");
            request.ServerCertificateValidationCallback = (sender, certificate, chain, sslPolicyErrors) =>
            {
                if (certificate == null || sslPolicyErrors != SslPolicyErrors.None)
                {
                    // Error getting certificate or the certificate failed basic validation
                    return false;
                }

                var targetKeyAlgorithm = new Oid(certificate.GetKeyAlgorithm()).FriendlyName;
                var targetPublicKey = certificate.GetPublicKeyString();
                
                if (targetKeyAlgorithm == PINNED_ALGORITHM &&
                    targetPublicKey == PINNED_PUBLIC_KEY)
                {
                    // Success, the certificate matches the pinned value.
                    return true;
                }
                // Reject, either the key or the algorithm does not match the expected value.
                return false;
            };

            try
            {
                var response = (HttpWebResponse)request.GetResponse();
                Console.WriteLine($"Success, HTTP status code: {response.StatusCode}");
            }
            catch(Exception ex)
            {
                Console.WriteLine($"Failure, {ex.Message}");
            }
            Console.WriteLine("Press any key to end.");
            Console.ReadKey();
        }
    }
}

启用 HTTPS - 安全传输通道

WCF：将消息安全保护级别设置为 EncryptAndSign

示例：

以下示例显示了配置服务和操作以只对消息进行签名。 服务协定示例 ProtectionLevel.Sign：下面是在服务协定级别使用 ProtectionLevel.Sign 的示例：

[ServiceContract(Protection Level=ProtectionLevel.Sign] 
public interface IService 
  { 
  string GetData(int value); 
  } 

示例：

操作契约示例 ProtectionLevel.Sign （用于粒度控制）：以下是在操作契约级别使用 ProtectionLevel.Sign 的示例：

[OperationContract(ProtectionLevel=ProtectionLevel.Sign] 
string GetData(int value);

WCF：使用最低特权帐户运行 WCF 服务

通过 HTTPS 连接强制所有流量发到 Web API

示例：

以下代码显示了用于检查 TLS 的 Web API 身份验证筛选器：

public class RequireHttpsAttribute : AuthorizationFilterAttribute
{
    public override void OnAuthorization(HttpActionContext actionContext)
    {
        if (actionContext.Request.RequestUri.Scheme != Uri.UriSchemeHttps)
        {
            actionContext.Response = new HttpResponseMessage(System.Net.HttpStatusCode.Forbidden)
            {
                ReasonPhrase = "HTTPS Required"
            };
        }
        else
        {
            base.OnAuthorization(actionContext);
        }
    }
}

将此筛选器添加到任何需要 TLS 的 Web API 操作中。

public class ValuesController : ApiController
{
    [RequireHttps]
    public HttpResponseMessage Get() { ... }
}

确保与 Azure Redis 缓存的通信通过 TLS 进行

请注意，Redis 旨在由受信任环境中的受信任客户端访问。 这意味着，一般来说，直接将 Redis 实例暴露在互联网，或置于不受信任的客户端能够直接访问 Redis TCP 端口或 UNIX 套接字的环境中，通常不是个好主意。

保护设备到现场网关的通信

使用 SSL/TLS 保护设备到云网关的通信