Configuration du pare-feu Azure SQL Server: permet-il à toutes les adresses IP de connecter un drapeau rouge?

Question

Je viens de créer mon premier serveur et base de données Azure SQL et j'essaie maintenant de configurer le pare-feu pour que mon application Web puisse se connecter et apporter des modifications à la base de données unique sur le serveur.

Je vois que vous pouvez permettre à tous les clients de se connecter en permettant une règle telle:

est cependant cette mauvaise pratique? Je vois que mon adresse IP du client est répertoriée dans le portail Azure puis-je obtenir des précisions que je dois autoriser cet accès à l'adresse IP unique pour le moment, puis plus tard lorsque je publie mon application Web sur Azure l'application Web est active et ne limite que l'accès à cette application (en supposant que les utilisateurs ne peuvent modifier la base de données que via mon application frontale).

Merci

Answer 1

Oui, c'est une mauvaise pratique. Il y a d'autres couches qu'il faudrait traverser (par exemple, la connexion au serveur), mais cela ouvre la porte d'entrée et permet à quiconque de s'en occuper à loisir. Si vous avez un serveur web hébergeant votre application web sur un serveur (ce que vous devez être), la liste blanche de l'adresse IP de ce serveur (et peut-être la vôtre, pour le développement/l'administration), mais permettant toutes les adresses IP n'est pas bonne pratique, non.

Un cas particulier où vous pouvez vraiment autoriser cela est si vous distribuez une application de bureau à des clients inconnus qui doivent se connecter au backend. Cela devient extrêmement alléchant à ce point, mais même ainsi, la pratique recommandée (ou du moins, ma pratique recommandée) serait d'utiliser un service Web qui acceptera un enregistrement d'application au démarrage de l'application, enregistrer temporairement l'IP du client à travers , et ensuite avoir un serveur d'arrière-plan (pensez WebJobs) qui va vider les règles de pare-feu dire, chaque nuit ou plus (ou pour une installation plus élaborée, accepter l'enregistrement avec un délai et utiliser un WebJob continu pour interroger le délai et actualiser/révoquer si nécessaire)