Azure Application Gateway là gì?

Th3 29, 2021 | Microsoft Kiến Thức, Security

Azure Application Gateway là một công cụ cân bằng tải lưu lượng/web traffic load balancer truy cập web cho phép bạn quản lý lưu lượng truy cập vào các ứng dụng web của mình. Các bộ cân bằng tải truyền thống hoạt động ở lớp transport (OSI lớp 4 – OSI layer 4 – TCP & UDP) và định tuyến lưu lượng dựa trên địa chỉ IP source và port, đến IP destination và port.

Application Gateway có thể đưa ra quyết định định tuyến dựa trên các thuộc tính bổ sung của một HTTP request, ví dụ: đường dẫn URI hoặc host headers. Ví dụ: bạn có thể định tuyến lưu lượng truy cập dựa trên URL đến. Vì vậy, nếu /image nằm trong URL đến, bạn có thể định tuyến lưu lượng truy cập đến một tập hợp máy chủ cụ thể (được gọi là pool) được định cấu hình cho image. Nếu /video có trong URL, lưu lượng truy cập đó sẽ được chuyển đến một pool khác được tối ưu hóa cho video.

Loại định tuyến này được gọi là cân bằng tải lớp application (OSI layer 7). Azure Application Gateway có thể thực hiện định tuyến dựa trên URL và nhiều hơn thế nữa.

Các tính năng

Secure Sockets Layer (SSL/TLS) termination

Application gateway hỗ trợ SSL / TLS tại gateway, sau đó lưu lượng truy cập thường không được mã hóa đến các backend server. Tính năng này cho phép các máy chủ web không phải chịu gánh nặng về chi phí mã hóa và giải mã tốn kém. Nhưng đôi khi các giao tiếp không được mã hóa tới các máy chủ không phải là một lựa chọn được chấp nhận. Điều này có thể là do các yêu cầu bảo mật, yêu cầu tuân thủ (compliance) hoặc ứng dụng có thể chỉ chấp nhận một kết nối an toàn. Đối với các ứng dụng này, Application gatewway hỗ trợ end to end SSL/TLS encryption.

Tìm hiểu thêm:  Overview of SSL termination and end to end SSL with Application Gateway

Autoscaling

Application Gateway Standard_v2 hỗ trợ tính năng tự động chia tỷ lệ và có thể tăng hoặc giảm tỷ lệ dựa trên việc thay đổi các mẫu tải lưu lượng. Tự động phân tỷ lệ cũng loại bỏ yêu cầu chọn kích thước triển khai hoặc số lượng phiên bản trong quá trình cấp phép.

Chi tiết tính năng:  Autoscaling v2 SKU

Zone redundancy

Application Gateway Standard_v2 có thể mở rộng nhiều vùng khả dụng (Availability Zones), mang lại khả năng phục hồi lỗi tốt hơn và loại bỏ nhu cầu cung cấp Application Gateways riêng biệt trong mỗi vùng.

Static VIP

Application Gateway Standard_v2 SKU chỉ hỗ trợ loại VIP tĩnh. Điều này đảm bảo rằng VIP được liên kết với application gateway không thay đổi trong suốt lifetime của Application Gateway.

Web Application Firewall

Web Application Firewall (WAF) là một dịch vụ cung cấp khả năng bảo vệ tập trung cho các ứng dụng web của bạn khỏi các lỗ hổng và khai thác phổ biến. WAF dựa trên các quy tắc từ bộ quy tắc cốt lõi của OWASP 3.1 (WAF_v2 only), 3.0 và 2.2.9.

Các ứng dụng web ngày càng trở thành mục tiêu của các cuộc tấn công độc hại khai thác các lỗ hổng phổ biến đã biết. Phổ biến trong số các cách khai thác này là các cuộc tấn công: chèn SQL (SQL injection attack) & cross site scripting attack. Việc ngăn chặn các cuộc tấn công như vậy trong mã ứng dụng có thể là một thách thức và có thể yêu cầu việc bảo trì, vá lỗi và giám sát nghiêm ngặt ở nhiều lớp của cấu trúc liên kết ứng dụng. Web Application Firewall quản lý tập trung giúp quản lý bảo mật đơn giản hơn nhiều và đảm bảo tốt hơn cho quản trị viên ứng dụng trước các mối đe dọa hoặc sự xâm nhập. Giải pháp Web Application Firewall cũng có thể phản ứng với mối đe dọa bảo mật nhanh hơn bằng cách vá lỗ hổng bảo mật đã biết tại vị trí trung tâm thay vì bảo mật từng ứng dụng web riêng lẻ. Các cổng (gateway) ứng dụng hiện có có thể được chuyển đổi thành cổng ứng dụng hỗ trợ Web Application Firewall một cách dễ dàng.

Chi tiết tính năng: What is Azure Web Application Firewall?

Ingress Controller for AKS

Application Gateway Ingress Controller (AGIC) cho phép bạn sử dụng Application Gateway làm mục nhập (ingress) cho một cluster Azure Kubernetes Service (AKS).

Ingress controller chạy như một nhóm trong cluster AKS và sử dụng  Kubernetes Ingress Resources và chuyển đổi thành cấu hình Application Gateway, cho phép cổng vào cân bằng tải lưu lượng đến các nhóm Kubernetes. Ingress controller chỉ hỗ trợ các SKU cổng ứng dụng Standard_v2 và WAF_v2.

Chi tiết tính năng: Application Gateway Ingress Controller (AGIC)

URL-based routing

Định tuyến dựa trên đường dẫn URL (URL-based routing) cho phép bạn định tuyến lưu lượng truy cập đến các nhóm máy chủ back-end dựa trên Đường dẫn URL của yêu cầu (request). Một trong những tình huống là định tuyến các yêu cầu (request) cho các loại nội dung khác nhau đến các nhóm (pool) khác nhau.

ví dụ, các yêu cầu (request) http://contoso.com được định tuyến đến ContosoServerPool.

Tương tự, hai sub-domain của cùng một subdomain có thể được lưu trữ trên cùng một triển khai cổng ứng dụng (application gateway). ví dụ, sử dụng subdomain có thể bao gồm http://blog.contoso.com và http://app.contoso.com được lưu trữ (hosted) trên một triển khai cổng ứng dụng (application gateway) duy nhất.

Tìm hiểu thêm:  Application Gateway multiple site hosting

Bạn cũng có thể xác định wildcard host name trong một multi-site listener và lên đến  5 host name trên mỗi listener.

Tìm hiểu thêm: wildcard host names in listener (preview)

Redirection

Một kịch bản phổ biến cho nhiều web application là hỗ trợ chuyển hướng HTTP sang HTTPS tự động để đảm bảo tất cả giao tiếp giữa ứng dụng và người dùng của ứng dụng đó diễn ra qua một đường dẫn được mã hóa & an toàn.

Trước đây, bạn có thể đã sử dụng các kỹ thuật như tạo nhóm chuyên dụng (dedicated pool) với mục đích duy nhất là chuyển hướng các yêu cầu (request) mà nó nhận được trên HTTP sang HTTPS. Application gateway hỗ trợ khả năng chuyển hướng (redirection) lưu lượng trên Application Gateway. Điều này giúp đơn giản hóa cấu hình ứng dụng, tối ưu hóa việc sử dụng tài nguyên và hỗ trợ các tình huống chuyển hướng (redirect) mới, bao gồm cả chuyển hướng (reditect) toàn cầu (global) và dựa trên đường dẫn (path-based). Hỗ trợ reditect Application gateway không chỉ giới hạn ở chuyển hướng HTTP sang HTTPS. Đây là cơ chế chuyển hướng chung, vì vậy bạn có thể chuyển hướng từ và đến bất kỳ cổng nào bạn xác định bằng cách sử dụng các quy tắc, tính năng này cũng hỗ trợ chuyển hướng đến một trang web bên ngoài.

Hỗ trợ chuyển hướng (reditect) Application Gateway cung cấp các khả năng sau:

• Chuyển hướng toàn cầu (Global redirection) từ cổng này sang cổng khác trên Gateway. Điều này cho phép chuyển hướng HTTP sang HTTPS trên một trang web.
• Chuyển hướng dựa trên đường dẫn (Path-based redirection). Loại chuyển hướng này chỉ cho phép chuyển hướng HTTP sang HTTPS trên một khu vực trang web cụ thể, ví dụ: khu vực giỏ hàng được ký hiệu là / cart /.
• Chuyển hướng đến một trang web bên ngoài (external site).

Tìm hiểu thêm về tính năng:  Application Gateway redirect overview.

Session affinity

Tính năng session affinity dựa trên cookie rất hữu ích khi bạn muốn giữ phiên người dùng trên cùng một máy chủ. Bằng cách sử dụng cookie được quản lý bởi gateway (gateway-managed cookies), Application Gateway có thể hướng lưu lượng tiếp theo từ phiên người dùng đến cùng một máy chủ để xử lý. Điều này quan trọng trong trường hợp trạng thái phiên được lưu cục bộ trên máy chủ cho phiên người dùng.

Tìm hiểu thêm:  How an application gateway works

Websocket and HTTP/2 traffic

Application Gateway cung cấp hỗ trợ riêng cho các giao thức WebSocket và HTTP / 2. Không có cài đặt người dùng có thể định cấu hình để bật hoặc tắt WebSocket support.

Giao thức WebSocket và HTTP / 2 cho phép giao tiếp song công (full duplex) giữa máy chủ và máy khách qua kết nối TCP đang hoạt động lâu dài. Điều này cho phép giao tiếp tương tác hơn giữa máy chủ web và máy khách, có thể hai chiều mà không cần polling các request trong triển khai dựa trên HTTP. Các giao thức này có chi phí thấp, không giống như HTTP và có thể sử dụng lại cùng một kết nối TCP cho nhiều yêu cầu (request) / phản hồi (response) dẫn đến việc sử dụng tài nguyên hiệu quả hơn. Các giao thức này được thiết kế để hoạt động trên các cổng HTTP truyền thống là 80 và 443.

Tìm hiểu thêm:  WebSocket support và HTTP/2 support.

Connection draining

Tính năng Connection draining giúp bạn loại bỏ backend pool members trong quá trình cập nhật dịch vụ theo kế hoạch. Cài đặt này được bật thông qua cài đặt http backend và có thể được áp dụng cho tất cả các thành viên trong nhóm backend (backend pool) trong quá trình tạo các rule (quy tắc) . Sau khi được kích hoạt, Application Gateway đảm bảo tất cả các trường hợp hủy đăng ký (deregistering instances) của backend pool không nhận được bất kỳ yêu cầu (request) mới nào trong khi vẫn cho phép các yêu cầu hiện có hoàn thành trong một giới hạn thời gian đã định cấu hình. Điều này áp dụng cho cả các trường hợp backend bị xóa khỏi backend pool do thay đổi cấu hình người dùng và các trường hợp backend được báo cáo là không tốt. Ngoại lệ duy nhất cho điều này là requests bound dành cho deregistering instances, đã được hủy đăng ký (deregistering instances) một cách rõ ràng, vì mối quan hệ phiên được quản lý bằng cổng (gateway) và tiếp tục được ủy quyền cho các phiên bản hủy đăng ký (deregistering instances).

Tìm hiểu thêm:  Application Gateway Configuration Overview.

Custom error pages

Application Gateway cho phép bạn tạo các error tùy chỉnh thay vì hiển thị các trang error mặc định. Bạn có thể sử dụng thương hiệu và bố cục của riêng mình bằng cách sử dụng trang lỗi tùy chỉnh.

Tìm hiểu thêm  Custom Errors

Rewrite HTTP headers and URL

HTTP headers cho phép client & server chuyển thông tin bổ sung với yêu cầu (request) hoặc phản hồi (response). Viết lại (rewrite) các header HTTP giúp bạn hoàn thành một số trường hợp quan trọng, chẳng hạn như:

• Thêm các trường header liên quan đến bảo mật như HSTS / X-XSS-Protection.
• Xóa các trường header phản hồi (response) có thể tiết lộ thông tin nhạy cảm.
• Loại bỏ thông tin cổng (port) khỏi tiêu đề X-Forwarded-For.

Application Gateway và WAF v2 SKU hỗ trợ khả năng thêm, xóa hoặc cập nhật các header response và request HTTP, trong khi các request & response package di chuyển giữa máy khách và backend pool. Bạn cũng có thể viết lại (rewrite) URL,query string parameter & host name. Với tính năng ghi lại URL và định tuyến dựa trên đường dẫn URL, bạn có thể chọn định tuyến các yêu cầu đến một trong các backend pool dựa trên đường dẫn ban đầu hoặc đường dẫn được viết lại (rewrite) bằng cách sử dụng path map.

Tính năng này cũng cung cấp cho bạn khả năng thêm các điều kiện để đảm bảo các header hoặc URL được chỉ định, chỉ được viết lại khi một số điều kiện nhất định được đáp ứng. Các điều kiện này dựa trên thông tin request & response.

Tìm hiểu thêm:  Rewrite HTTP headers and URL

Sizing

Application Gateway Standard_v2 có thể được định cấu hình để tự động chia tỷ lệ hoặc triển khai kích thước cố định. SKU v2 không cung cấp các kích thước instance khác nhau. Để biết thêm thông tin về giá cả và hiệu suất v2, hãy xem:  Autoscaling V2 & Understanding pricing.

Application Gateway Standard (v1) được cung cấp ở ba kích cỡ: Small, Medium, and Large. Small instance được sử dụng cho việc phát triển & thử nghiệm (testing).

Để có danh sách đầy đủ các giới hạn, hãy xem:  Application Gateway service limits
Bảng sau đây cho thấy thông lượng hiệu suất trung bình cho mỗi phiên bản v1 cổng ứng dụng có SSL offload được bật:

Nguồn: Docs.Microsoft.com

Azure Key Vault là gì?

Th3 26, 2021 | Microsoft Kiến Thức, Security

Azure Key Vault là một dịch vụ đám mây để lưu trữ và truy cập các secret một cách an toàn. secret là bất kỳ thứ gì bạn muốn kiểm soát chặt chẽ quyền truy cập, chẳng hạn như API key, password, certificates hoặc cryptographic keys. Key Vault service hỗ trợ hai loại container: vault & managed HSM pool. Vault hỗ trợ lưu trữ phần mềm và HSM-backed keys, secrets, and certificates. Managed HSM pools chỉ hỗ trợ HSM-backed keys. Xem tổng quan về Azure Key Vault REST API overview để biết chi tiết đầy đủ.

Dưới đây là một số định nghĩa quan trọng khác:

• Tenant: là tổ chức sở hữu và quản lý một phiên bản cụ thể của các dịch vụ đám mây của Microsoft, thường được dùng để chỉ tập hợp các dịch vụ Azure và Microsoft 365 cho một tổ chức/doanh nghiệp/công ty.
• Vault owner: có thể tạo key vault và có toàn quyền truy cập và kiểm soát. Vault owner cũng có thể thiết lập audit để ghi lại những ai truy cập vào secrets & key. Quản trị viên có thể kiểm soát key lifecycle, có thể chuyển sang phiên bản mới của key, sao lưu và thực hiện các tác vụ liên quan.
• Vault consumer: có thể thực hiện các hành động bên trong key vault khi vault owner cấp quyền truy cập cho Vault consumer. Các hành động sẽ phụ thuộc vào các quyền được cấp.
• Managed HSM Administrators: Người dùng được chỉ định vai trò Administrator có toàn quyền kiểm soát Managed HSM pool, có thể tạo nhiều nhiệm vụ vai trò hơn để ủy quyền quyền truy cập có kiểm soát cho những người dùng khác.
• Managed HSM Crypto Officer/User: Các vai trò tích hợp thường được chỉ định cho người dùng (user) hoặc  service principals sẽ thực hiện cryptographic operations bằng cách sử dụng các key trong Managed HSM. Crypto User có thể tạo key mới, nhưng không thể xóa key.
• Managed HSM Crypto Service Encryption: Vai trò tích hợp thường được chỉ định cho service identity được quản lý bởi tài khoản dịch vụ (service account) (ví dụ: Storage account) để mã hóa dữ liệu bằng key do khách hàng quản lý.
• Resource: có thể được quản lý thông qua Azure. Các ví dụ phổ biến là máy ảo, tài khoản lưu trữ, ứng dụng web, cơ sở dữ liệu và mạng ảo v.v…
• Resource group: là một container chứa các tài nguyên liên quan cho giải pháp Azure. Resource group có thể bao gồm tất cả các tài nguyên/resource cho giải pháp hoặc chỉ những tài nguyên/resource mà bạn muốn quản lý như một nhóm/group.
• Security principal: là security identity mà các ứng dụng, dịch vụ và công cụ tự động hóa do người dùng tạo sử dụng để truy cập các tài nguyên Azure cụ thể. Hãy coi đó là “danh tính người dùng” (tên người dùng và mật khẩu hoặc chứng chỉ) với vai trò cụ thể và các quyền được kiểm soát chặt chẽ. Security principal chỉ cần làm những việc cụ thể, không giống như danh tính người dùng chung (user identity). Security principal thực hiện bảo mật nếu bạn chỉ cấp mức quyền tối thiểu để thực hiện các nhiệm vụ quản lý. Security principal được sử dụng với một ứng dụng hoặc dịch vụ được gọi là service principal.
• Azure Active Directory (Azure AD): Azure AD là Active Directory service cho tenant. Mỗi directory có một hoặc nhiều domain. một directory có thể có nhiều đăng ký/supscriptions được liên kết, nhưng chỉ có một tenant.
• Azure tenant ID: một tenant ID là một cách duy nhất để xác định một phiên bản Azure AD trong đăng ký/ subscription Azure.
• Managed identities: Azure Key Vault cung cấp một cách để lưu trữ an toàn thông tin đăng nhập (credentials) cũng như các key và secret, nhưng mã (code) của bạn cần phải xác thực với Key Vault để truy xuất chúng. Sử dụng managed identity giúp giải quyết vấn đề này đơn giản hơn bằng cách cung cấp cho các dịch vụ Azure (Azure services) một danh tính được quản lý (managed identity) tự động trong Azure AD. Bạn có thể sử dụng danh tính (identity) này để xác thực với Key Vault hoặc bất kỳ dịch vụ nào hỗ trợ xác thực Azure AD mà không cần có bất kỳ thông tin đăng nhập nào trong code của bạn. Để biết thêm thông tin, hãy tham khảo  overview of managed identities for Azure resource

Authentication

Để thực hiện bất kỳ thao tác nào với Key Vault, trước tiên bạn cần xác thực nó. Có ba cách để xác thực Key Vault:

• Managed identities for Azure resources (Danh tính được quản lý cho tài nguyên Azure): Khi bạn triển khai ứng dụng trên máy ảo trong Azure, bạn có thể chỉ định danh tính (identity) cho máy ảo của mình có quyền truy cập vào Key Vault. Bạn cũng có thể gán danh tính cho các tài nguyên Azure khác. Lợi ích của phương pháp này là ứng dụng hoặc dịch vụ không quản lý vòng quay của secret đầu tiên (first secret). Azure tự động xoay (rotate) danh tính (identity). Microsoft đề xuất phương pháp này như một phương pháp hay nhất.
• Service principal and certificate: Bạn có thể sử dụng service principal và chứng chỉ được liên kết (associated certificate) để có quyền truy cập vào Key Vault. Microsoft không khuyến khích phương pháp này vì chủ sở hữu hoặc nhà phát triển ứng dụng phải xoay certificate (rotate the certificate).
• Service principal and secret: Mặc dù bạn có thể sử dụng service principal & secret để xác thực với Key Vault, nhưng Microsoft không khuyên bạn nên sử dụng cách này. Thật khó để tự động xoay (rotate) bootstrap secret được sử dụng để xác thực với Key Vault.

Key Vault roles

Sử dụng bảng sau để hiểu rõ hơn cách Key Vault có thể giúp đáp ứng nhu cầu của các nhà phát triển và quản trị viên bảo mật.

Bất kỳ ai có đăng ký Azure (Azure subscription) đều có thể tạo và sử dụng key vaults. Mặc dù Key Vault mang lại lợi ích cho các nhà phát triển và quản trị viên bảo mật, nhưng cũng có thể được triển khai và quản lý bởi quản trị viên của tổ chức, người quản lý các dịch vụ Azure khác. Ví dụ: quản trị viên này có thể đăng nhập bằng đăng ký Azure, tạo một vault cho tổ chức để lưu trữ key và sau đó chịu trách nhiệm về các tác vụ hoạt động như sau:

• Tạo hoặc nhập keyhoặc secret.
• Thu hồi (Revoke) hoặc xóa (delete) key hoặc secret.
• Cho phép người dùng hoặc ứng dụng truy cập key vault để sau đó họ có thể quản lý hoặc sử dụng các key và secret.
• Định cấu hình việc sử dụng key (ví dụ: ký hoặc mã hóa/sign, encrypt)
• Giám sát việc sử dụng key.

Quản trị viên này sau đó cung cấp cho các nhà phát triển URI để gọi từ các ứng dụng của họ. Quản trị viên này cũng cung cấp thông tin ghi log sử dụng cho quản trị viên bảo mật.

Các nhà phát triển cũng có thể quản lý các key trực tiếp bằng cách sử dụng các API. Để biết thêm thông tin vui lòng tham khảo link sau: the Key Vault developer’s guide

Nội dung liên quan:

•  secure your vault
•  secure your managed HSM pools

Nếu bạn cần hỗ trợ, mua bản quyền vui lòng liên hệ VinSEP:

Tham khảo: Docs.microsoft.com