Beveiliging configureren voor een Tomcat-, JBoss- of Java SE-app in Azure-app Service

In dit artikel wordt beschreven hoe u Java-specifieke beveiligingsinstellingen configureert in App Service. Java-toepassingen die worden uitgevoerd in App Service, hebben dezelfde set aanbevolen beveiligingsprocedures als andere toepassingen.

Azure App Service voert Java-webtoepassingen uit in drie typen op een volledig beheerde service:

• Java Standard Edition (SE). Java SE kan een app uitvoeren die is geïmplementeerd als een Java-archiefpakket (JAR) dat een ingesloten server bevat, zoals Spring Boot, Quarkus, Dropwizard of een app met een ingesloten Tomcat- of Jetty-server.
• Tomcat. De ingebouwde Tomcat-server kan een app uitvoeren die is geïmplementeerd als een WAR-pakket (Web Application Archive).
• JBoss Enterprise Application Platform (EAP): de ingebouwde JBoss EAP-server kan een app uitvoeren die is geïmplementeerd als een WAR- of Enterprise Archive-pakket (EAR). Deze optie wordt ondersteund voor Linux-apps in een set prijscategorieën met Gratis, Premium v3 en Isolated v2.

Gebruikers verifiëren (Easy Auth)

Stel app-verificatie in Azure Portal in met de optie Verificatie en autorisatie . Hier kunt u verificatie inschakelen met behulp van Microsoft Entra ID of sociale aanmeldingen, zoals Facebook, Google of GitHub. Azure Portal-configuratie werkt alleen bij het configureren van één verificatieprovider. Zie Uw App Service-app configureren voor het gebruik van microsoft Entra-aanmelding en de gerelateerde artikelen voor andere id-providers voor meer informatie. Als u meerdere aanmeldingsproviders wilt inschakelen, raadpleegt u Aanmeldingen en afmelden aanpassen.

Map<String, Collection<String>> map = (Map<String, Collection<String>>) request.getUserPrincipal();

for (Object key : map.keySet()) {
        Object value = map.get(key);
        if (value != null && value instanceof Collection {
            Collection claims = (Collection) value;
            for (Object claim : claims) {
                System.out.println(claims);
            }
        }
    }

public boolean isSecure()
public String getRemoteAddr()
public String getRemoteHost()
public String getScheme()
public int getServerPort()

TLS configureren

Zie HTTPS inschakelen voor een aangepast domein in Azure App Service om een bestaand TLS-certificaat te uploaden en dit te binden aan de domeinnaam van uw toepassing. U kunt de app ook configureren om TLS af te dwingen.

Azure Key Vault-verwijzingen gebruiken

Azure Key Vault biedt gecentraliseerd geheimbeheer met toegangsbeleid en controlegeschiedenis. U kunt geheimen, zoals wachtwoorden of verbindingsreeksen, opslaan in een sleutelkluis. U kunt deze geheimen in uw toepassing openen via omgevingsvariabelen.

Verleen eerst uw app toegang tot een sleutelkluis en maak een Key Vault-verwijzing naar uw wachtwoord in een toepassingsinstelling. U kunt controleren of de verwijzing naar het geheim leidt door de omgevingsvariabele weer te geven terwijl u op afstand toegang hebt tot de App Service-terminal.

Het Java-sleutelarchief gebruiken in Linux

Standaard worden openbare of persoonlijke certificaten die naar App Service Linux zijn geüpload , geladen in de respectieve Java-sleutelarchieven wanneer de container wordt gestart. Nadat u uw certificaat hebt geüpload, moet u uw App Service opnieuw starten om het te laden in het Java-sleutelarchief. Openbare certificaten worden geladen in het sleutelarchief op $JRE_HOME/lib/security/cacerts. Persoonlijke certificaten worden opgeslagen in $JRE_HOME/lib/security/client.jks.

Er kan meer configuratie nodig zijn voor het versleutelen van uw JDBC-verbinding met certificaten in het Java-sleutelarchief:

• PostgreSQL
• SQL Server
• MongoDB
• Cassandra

Het Java-sleutelarchief initialiseren in Linux

Als u het import java.security.KeyStore object wilt initialiseren, laadt u het sleutelarchiefbestand met het wachtwoord. Het standaardwachtwoord voor beide sleutelarchieven is changeit.

KeyStore keyStore = KeyStore.getInstance("jks");
keyStore.load(
    new FileInputStream(System.getenv("JRE_HOME")+"/lib/security/cacerts"),
    "changeit".toCharArray());

KeyStore keyStore = KeyStore.getInstance("pkcs12");
keyStore.load(
    new FileInputStream(System.getenv("JRE_HOME")+"/lib/security/client.jks"),
    "changeit".toCharArray());

Het sleutelarchief handmatig laden in Linux

U kunt certificaten handmatig laden in het sleutelarchief. Als u wilt uitschakelen dat App Service de certificaten automatisch in het sleutelarchief laadt, maakt u een app-instelling, SKIP_JAVA_KEYSTORE_LOADmet de waarde .1 Alle openbare certificaten die zijn geüpload naar App Service met behulp van Azure Portal, worden opgeslagen onder /var/ssl/certs/. Persoonlijke certificaten worden opgeslagen onder /var/ssl/private/.

Als u wilt communiceren of fouten wilt opsporen in het Java-sleutelprogramma, opent u een SSH-verbinding met uw App Service en voert u de opdracht keytooluit. Raadpleeg de documentatie van het Key Tool voor een lijst met commando's. Zie Class KeyStore voor meer informatie over de KeyStore-API.

Verwante inhoud

Ga naar het Azure voor Java-ontwikkelaarscentrum om azure-snelstartgidsen, zelfstudies en Java-referentiedocumentatie te vinden.

• Veelgestelde vragen over App Service Linux
• Naslaginformatie over omgevingsvariabelen en app-instellingen