説明
最小 TLS バージョンが低いと、古いプロトコルのクライアントも接続できます。新しい App Service アプリの既定値は TLS 1.2 であり、省略だけで古い TLS が許可されるとは限りません。TLS 1.3 にも対応しているため、互換性とセキュリティ方針に合わせて基準を決めてください。
想定される影響
- 古い TLS を許可すると、組織の暗号化要件を満たせない場合があります。
- 互換性を確認せずに最小バージョンを上げると、既存クライアントが接続できなくなる場合があります。
対処方法
アプリと SCM エンドポイントに TLS 1.2 以上を要求し、互換性を確認したうえで TLS 1.3 を検討してください。現在のリソースでは minimum_tls_version と scm_minimum_tls_version を確認し、実際の接続を試験してください。従来のリソースでは対応するバージョンのフィールドを使ってください。
例
最初は AzureRM 3.x の従来のリソース、変更後は現在の Linux Web App の抜粋です。App Service の TLS 1.0・1.1 は 2027 年 5 月 31 日にサポート終了予定です。変更後の例には実際の Linux サービスプラン ID を指定してください。
変更前
hcl
resource "azurerm_app_service" "example" {
name = "example-app-service"
location = azurerm_resource_group.example.location
resource_group_name = azurerm_resource_group.example.name
app_service_plan_id = azurerm_app_service_plan.example.id
site_config {
dotnet_framework_version = "v4.0"
scm_type = "LocalGit"
min_tls_version = "1.0"
}
}
変更後
hcl
resource "azurerm_linux_web_app" "example" {
name = "example-app-service"
location = azurerm_resource_group.example.location
resource_group_name = azurerm_resource_group.example.name
service_plan_id = var.service_plan_id
site_config {
minimum_tls_version = "1.3"
}
}
変更後はアプリの最小バージョンを TLS 1.3 にします。リソースタイプの変更には別途移行計画が必要であり、SCM エンドポイントの TLS 設定はこの抜粋には含まれていません。