如何通过Azure App Proxy或网站部署SSRS？求助配置问题

问题背景 #

我们内网通过HTTP/HTTPS访问SSRS报表服务完全正常，现需让居家远程办公用户也能访问该服务。目前尝试通过Azure App Proxy部署但始终失败，已提供App Proxy配置截图，需排查配置问题，同时希望了解其他可行部署方案。

Azure App Proxy配置常见问题排查 #

结合SSRS通过App Proxy发布的常规要求，从你提供的配置截图中，重点核对以下高频错误点：

• 内部URL配置：必须完整指向SSRS报表门户的完整路径（例如http://<内网SSRS服务器>/Reports或HTTPS版本），不能仅填写服务器IP/根域名，缺失/Reports路径会导致页面跳转异常。
• 预身份验证设置：必须选择Azure Active Directory预身份验证，禁止使用“直通”模式。SSRS依赖身份验证体系，直通模式会跳过AAD验证，引发权限或访问失败问题。
• Kerberos约束委派(KCD)：需开启KCD并配置正确的服务主体名称(SPN)。SSRS需要Kerberos实现单点登录，未配置KCD会导致身份验证失败、报表无法加载。
• SSL与后端协议：若内网SSRS使用HTTPS，需确保App Proxy信任内部证书（公网CA签发或上传内部CA根证书至Azure）；若使用HTTP，需在App Proxy的“后端应用”设置中开启“允许HTTP后端”选项。
• 自定义域与路径映射：SSRS页面包含大量相对路径，需确保自定义域配置正确，无额外URL重写规则破坏路径映射逻辑。

其他可行部署方案 #

方案1：VPN接入内网 #

• 部署企业级VPN（如Azure VPN Gateway、OpenVPN或企业自有VPN设备），让居家用户先连接VPN接入内网，直接使用原有SSRS内网地址访问。
• 优势：配置简单，完全沿用原有SSRS权限体系，无需额外改造服务。
• 劣势：依赖VPN连接稳定性，用户必须先启动VPN才能访问。

方案2：反向代理服务器（NGINX/IIS ARR） #

• 在DMZ区域部署反向代理服务器，配置反向代理规则指向内网SSRS服务器，同时配置SSL证书和身份验证（如集成Windows身份验证、OAuth）。
• 优势：灵活性高，可自定义访问控制、缓存策略，成本较低。
• 劣势：需维护DMZ区服务器，自行处理安全防护（如WAF、防火墙规则）。

方案3：SSRS迁移至Azure云 #

• 将SSRS报表服务器迁移至Azure VM，或直接使用Azure SQL Managed Instance集成的SSRS服务，通过公网IP或Azure Front Door对外发布。
• 优势：Azure原生支持公网访问，自带安全防护与高可用能力，无需维护本地设备。
• 劣势：涉及迁移成本，需重新配置报表数据源与权限体系。

内容的提问来源于stack exchange，提问作者user506427