如何限制仅App Service可访问ASE关联的Azure Web API？

我完全懂你的困扰——ASE里所有Web App和API共用同一个VIP，传统IP限制根本没法区分目标流量，NSG绑定子网又卡到具体IP的要求，确实头疼。下面给你几个针对性的解决方案，从快速实现到生产级安全控制，按需选择：

方案1：虚拟网络访问限制（快速适配同ASE内批量访问场景） #

如果你的需求是允许ASE子网内所有App Service访问API，拒绝外部所有流量，这个方法最直接：

• 打开Web API的App Service门户，进入「网络」>「访问限制」
• 添加一条允许规则，选择「虚拟网络」，选中你的ASE所在的VNet和子网
• 将默认规则设为「拒绝」，这样只有ASE子网内的流量（也就是你所有的Web App/API）能访问该API
• 注意：这个方法是子网级控制，会开放给ASE内所有App Service，若需要更细粒度的权限（比如仅允许特定几个Web App访问），请用下面的方案。

方案2：Managed Service Identity (MSI) + API授权（细粒度安全控制，生产级推荐） #

这是彻底摆脱IP限制的方案，基于身份验证实现精准访问控制：

1. 给需要访问API的Web App分配MSI：
   • 进入目标Web App的门户，「身份」>「系统分配」，开启状态并保存，系统会自动生成对应的服务主体
2. 在Web API中配置身份验证逻辑：
   • 若使用ASP.NET/ASP.NET Core，可在Startup.cs中添加Azure AD身份验证，校验请求中的MSI令牌
   • 也可借助App Service的「身份验证」功能，开启「Azure Active Directory」提供商，设置为「仅允许已验证的用户访问」，再在API代码中检查调用者的MSI客户端ID是否为你授权的Web App ID
3. 配置完成后，只有携带指定MSI身份的Web App请求能通过验证，其他任何流量（包括ASE内未授权的App Service）都会被拦截。

方案3：ILB ASE结合NSG（适合完全隔离公网访问的场景） #

如果你的ASE是外部型（带公网VIP），可以考虑转换为ILB（内部负载均衡器）ASE，所有App Service的入口变为私有IP：

• 转换完成后，给ASE所在子网绑定NSG，设置入站规则：
  • 允许来自ASE子网私有IP段的流量（比如10.0.0.0/24）
  • 拒绝所有其他入站流量
• 此时Web App的出站流量也使用子网内私有IP，API的NSG仅允许子网内流量，就能实现隔离。但这个方法同样是子网级控制，细粒度需求还是得依赖方案2。

避坑提示 #

• 不要尝试用App Service的出站IP做限制，ASE内的出站IP也是共用的，和VIP一样无法区分不同App Service
• 使用MSI时，记得给Web App的MSI分配API的访问权限（比如在API的App Service权限中添加Web App的MSI为「贡献者」或自定义角色，具体取决于你的API验证逻辑）

内容的提问来源于stack exchange，提问作者Sonam