暴露Azure Service Bus连接字符串是否存在安全风险？

紧急止损措施 #

• 立即轮换连接字符串：在Azure门户进入Service Bus命名空间的「共享访问策略」页面，重新生成主/次要连接字符串，旧的连接字符串会立即失效，阻断非法访问。

抵御DoS攻击的配置方案 #

• 启用命名级别节流：设置命名空间的消息吞吐量上限（每秒发送/接收请求数），避免突发流量耗尽资源，同时防止因超额请求产生额外计费。
• 配置IP防火墙规则：仅允许可信IP段访问Service Bus，直接拦截非法来源的请求。
• 绑定虚拟网络服务端点：将Service Bus与指定VNet关联，仅允许VNet内的合法资源发起访问，缩小攻击面。

防范垃圾消息与账单超支 #

• 用SAS令牌替代完整连接字符串：为不同客户端生成最小权限的SAS令牌（比如仅授予Send或Listen权限），并设置过期时间，即使令牌泄露，影响范围和时长也可控。
• 设置消息TTL（生存时间）：给队列/主题配置默认TTL，垃圾消息会自动过期清理，避免占用存储资源产生不必要费用。
• 配置计费阈值警报：在Azure Monitor中设置费用警报，当账单接近预设阈值时触发通知，及时发现异常消费。
• 开启诊断日志：记录所有访问请求和消息操作，一旦发现异常流量或垃圾消息，可快速定位来源并采取阻断措施。

长期安全实践 #

• 禁止硬编码连接字符串：使用Azure Key Vault存储连接字符串，应用通过Key Vault的API获取凭据，避免代码或配置文件泄露风险。
• 遵循最小权限原则：创建专用的共享访问策略，比如给消息发送者仅分配Send权限，接收者仅分配Listen权限，绝不使用默认的RootManageSharedAccessKey（权限过大，泄露后危害极大）。
• 定期轮换凭据：按周期更新连接字符串和SAS令牌，降低凭据泄露后的影响时长。

内容的提问来源于stack exchange，提问作者Fernando Barrueto