如何轻松锁定对Azure资源的访问？

Question

我有一个资源（特别是，一个部署到我的AKS集群的Kubernetes服务），我想限制访问。我浏览了有关What is Azure Virtual Network?，VPN Gateway design等的MSDN文档，但是我也看不到一种清晰的方法：

• 在访问特定的IP /端口之前需要AAD认证，或者
• 特定IP /子网来自[[来自的白名单访问（例如，指定应获得访问权限的CIDR格式www.xxx.yyy.zzz/nn）。

似乎有限制访问的方法要求我安装一些RADIUS VPN客户端，但是我不想这样做。似乎有很多麻烦要解决-有没有办法我可以阻止所有来自特定AAD角色或特定IP范围的AKS群集

except

的传入流量？

Answer 1

了解您打算将AKS用于什么（网站，批处理等）会很有帮助

首先，您应该充分研究服务本身提供的联网选项。首先锁定到您的个人IP地址，然后该服务（基于Azure文档）可能会在网络规则的末尾附加拒绝全部。要获取看到您的IP地址，请尝试IP Chicken。

我提供了两个附加选项：应用程序网关或API管理。

根据您共享的信息，锁定此错误的一种方法是Application Gateway。

Application Gateway (Product Page)

AKS的入口控制器

“应用程序网关入口控制器（AGIC）允许您将应用程序网关用作Azure Kubernetes服务（AKS）群集的入口。” -从Azure Docs

API Management

您还具有与该资源上的策略配对的API管理。它可以受AAD（检查定价层以了解详细信息）和IP地址（在任何定价层上）的限制。

如果AKS的自然联网选项不能满足您的用例，我会选择API管理。价格和选项对于您想要的目标更好。