Azure Cosmos DB-Firewall: die öffentliche Egress-IP des Proxys zulassen
Passen Sie die IP-Firewall von Cosmos DB an die öffentliche Egress-Adresse an, die der Forward-Proxy tatsächlich verwendet.
Wird ein Cosmos DB-Client über einen Forward-Proxy geleitet, ändert sich die Netzwerkquelle, die das Datenbankkonto sieht. Eine IP-Firewall, die die direkte öffentliche Adresse der Workstation zulässt, kann die über den Proxy gesendete Anfrage daher ablehnen.
Erlauben Sie für ein Konto mit öffentlichem Zugriff und ausgewählten Netzwerken die öffentliche Egress-IP des Proxy-Pfads oder einen genehmigten Bereich. Dabei kann es sich um eine NAT-Adresse hinter dem Proxy handeln und nicht um den Hostnamen oder die private Adresse, die der Python-Client zum Erreichen seines Listeners nutzt.
Verwenden Sie die vom Proxy-Betreiber zugewiesenen Egress-Informationen. Ein rotierender Ausgangspool benötigt eine geeignete stabile Route oder eine genehmigte Gruppe von Ausgangsadressen; eine einzelne beobachtete Adresse zuzulassen ist unzuverlässig, wenn spätere Verbindungen andere verwenden.
Cosmos DB dokumentiert eine 403-Antwort für Anfragen außerhalb seiner IP-Zulassungsliste. Firewall-Aktualisierungen können bis zu 15 Minuten zur Verbreitung brauchen. Behalten Sie die normalen Autorisierungsnachweise des Datenbankkontos bei, denn eine zugelassene Netzwerkquelle braucht weiterhin eine gültige Autorisierung.