限制从Blob存储中的静态网站调用Azure函数？

Question

Azure Functions中有多个函数，其中一些由Blob存储中托管的网页使用。

我希望网页（Blob存储）使用的函数来限制调用，所以它们只能由网页调用，而不是其他任何人。像这样的事情可能吗？

我找到了一个限制IP访问的选项，但是这个网页在任何计算机上都会有不同的IP，所以这个选项似乎不是一个好的解决方案。

好的解决方案是限制来自域名的函数调用，但Azure中没有这样的选项。

有人有其他想法吗？

Answer 1

您可以通过两种方式实现这一点：

1.如果你在函数应用程序中有一小套函数，快速简单廉价的方法

您可以通过在函数应用中启用CORS并指定可以访问函数应用的域列表（以及函数）来实现这一点。

执行此操作的步骤：

1. 转到Azure中的函数应用资源
2. 在API菜单下选择CORS
3. 选中为您提供启用访问控制允许凭据选项的复选框
4. 指定要启用访问的域或域列表
5. 保存

跨源资源共享（CORS）允许在外部主机上的浏览器中运行的JavaScript代码与后端交互。指定应该允许进行跨源调用的源（例如：http://example.com:12345）。要允许所有，请使用“*”并从列表中删除所有其他来源。斜线不允许作为域的一部分或TLD之后。

2.如果您有更多的预算，并且您的功能是大型企业应用程序的一部分，则使用更安全的方法

>

在函数应用前面部署新的Azure API管理实例。（https://docs.microsoft.com/en-us/azure/api-management/import-function-app-as-api）

使用APIM服务标记保护函数应用的访问限制，以仅允许从APIM访问并拒绝所有其他流量（此处阅读更多内容：https://docs.microsoft.com/en-us/azure/app-service/app-service-ip-restrictions）

完成步骤1和2后，无法直接访问函数应用。您（或其他任何人）只能使用订阅密钥通过APIM访问它。（信息：https://docs.microsoft.com/en-us/learn/modules/publish-manage-apis-with-azure-api-managementhttps://docs.microsoft.com/en-us/learn/modules/control-authentication-with-apim/）

在APIM（https://docs.microsoft.com/en-us/azure/api-management/api-management-cross-domain-policies#CORS）中启用CORS

如您所见，APIM为您提供了额外的保护层，您可以按域进行限制，此外，只允许提供订阅密钥的请求访问您的功能。您可以随时撤销和重新生成这些密钥，以确保恶意用户无法访问您的功能应用程序。您还可以配置诸如速率限制之类的功能来防止DDOS攻击。

附言：我想你会发现这个答案也很有趣。恶意用户可以欺骗CORS。但是，在APIM实例后面保护函数应用程序将给您带来更大的安全性。取决于您希望应用程序的安全级别与预算-如何阻止恶意代码欺骗“源”标题以利用CORS？

您可以遵循Azure的APIM安全基线建议，通过APIM进一步保护您的functionapp：https://docs.microsoft.com/en-us/security/benchmark/azure/baselines/api-management-security-baseline