用途：为托管在 Azure App Service 上的 Web 应用与 API 规划身份、网络、密钥与传输安全配置。不适用于仅 Azure Functions、AKS 工作负载或 VM 托管应用。
主要能力：按暴露模式选择配置。仅内部应用用私有终结点并禁用公共访问，出站用 VNet 集成；公网敏感应用限制入站仅 WAF，前置 Front Door 或 Application Gateway（Prevention 模式）；合作伙伴 API 用私有终结点加 APIM；无入站的后台任务禁用公共访问。
关键做法：默认启用系统分配托管标识，按最小权限授予 Azure SQL、Storage、Key Vault 角色；用 Easy Auth 配合 Microsoft Entra ID 实现 OIDC 登录，设置重定向 URI、令牌存储与 requireAuthentication=true；密钥存 Key Vault，应用设置以 @Microsoft.KeyVault(SecretUri=...) 引用；出站用 VNet 集成，入站敏感应用用私有终结点并禁用公共访问；强制 HTTPS-only、最低 TLS 1.2（优先 1.3）、禁用 FTP；公网应用前置 WAF 并用访问限制仅放行 WAF 服务标记或 IP 及 X-Azure-FDID 头；诊断日志送 Log Analytics，启用 Defender for App Service 与 App Insights。
验证要点：匿名请求返回 302 跳转 Entra 登录；应用设置中 Key Vault 引用显示 Resolved；HTTP 请求 301 跳转 HTTPS；直连 App Service URL 返回 403，经 WAF 域名返回 200。
限制与注意：Easy Auth 只做认证，敏感操作仍需在代码中校验角色与声明；访问限制是防止绕过 WAF 的关键；避免明文连接字符串、FTP 明文凭据、关闭 HTTPS-only 等反模式。具体价格与平台细节暂未提供。