Notes
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de vous connecter ou de modifier des répertoires.
L’accès à cette page nécessite une autorisation. Vous pouvez essayer de modifier des répertoires.
Importante
À compter du 1er mai 2025, Azure AD B2C ne sera plus disponible pour les nouveaux clients. Pour plus d’informations, consultez Azure AD B2C est-il toujours disponible pour l’achat ? dans notre FAQ.
Dans cet article, vous trouverez des conseils pour planifier et implémenter les API RESTful afin de rendre votre application plus résiliente face aux défaillances d’API.
S’assurer que le placement des API est correct
Utiliser des stratégies Identity Experience Framework (IEF) pour appeler un système externe à l’aide d’un profil technique de l’API RESTful. L’environnement d’exécution IEF ne contrôle pas les systèmes externes, ce qui constitue un point de défaillance potentiel.
Gérer des systèmes externes à l’aide d’API
Lorsque vous appelez une interface pour accéder à certaines données, assurez-vous que ce sont les données qui déterminent la décision d’authentification. Déterminez si les informations sont essentielles pour les fonctionnalités de l’application. Par exemple, un e-commerce par rapport à une fonctionnalité secondaire comme une administration. Si les informations ne sont pas nécessaires à l’authentification, envisagez de déplacer l’appel vers la logique de l’application.
Si les données d’authentification ne doivent pas être externalisées et sont relativement statiques et peu nombreuses, placez-les dans le répertoire.
Lorsque cela est possible, supprimez les appels d’API du chemin d’accès préauthentifié. Si cela n’est pas possible, activez les protections contre les attaques par déni de service (DoS) et par déni de service distribué (DDoS) pour les API. Les attaquants peuvent charger la page de connexion et tenter de saturer votre API avec des attaques DoS pour désactiver votre application. Par exemple, utilisez un test CAPTCHA (Completely Automated Public Turing Test To Tell Computers and Humans Apart) dans votre flux de connexion et d’inscription.
Utilisez les connecteurs d’API des flux d’utilisateurs d’inscription pour intégrer les API web après la fédération avec un fournisseur d’identité, pendant l’inscription ou avant la création de l’utilisateur. Étant donné que les flux d’utilisateurs sont testés, vous n’avez pas besoin d’effectuer de tests fonctionnels, de performance ou de mise à l’échelle au niveau des flux d’utilisateurs. Testez la fonctionnalité, le niveau de performance et la mise à l’échelle de vos applications.
Les profils techniques des API RESTful Azure AD B2C ne fournissent aucun comportement de mise en cache. Au lieu de cela, le profil d’API RESTful implémente une logique de nouvelle tentative et un délai d’expiration intégré à la stratégie.
Pour les API qui doivent écrire des données, utilisez une tâche pour que ces actions soient exécutées par un Worker en arrière-plan. Utilisez des services tels que File d’attente Azure. Cette pratique permet de retourner l’API efficacement et augmente ainsi les performances d’exécution de la stratégie.
Erreurs API
Étant donné que les API se trouvent en dehors du système Azure AD B2C, vous devez activer la gestion des erreurs dans le profil technique. Assurez-vous que les utilisateurs sont informés et que l’application peut gérer correctement les défaillances.
Gestion des erreurs d’API
Étant donné que les API échouent pour diverses raisons, assurez-vous que votre application est résiliente. Renvoyez un message d’erreur HTTP 4XX si l’API ne parvient pas à terminer la requête. Dans la stratégie d’Azure AD B2C, essayez de gérer l’indisponibilité de l’API et peut-être de rendre une expérience réduite.
Gérez correctement les erreurs temporaires. Utilisez le profil d’API RESTful pour configurer des messages d’erreur pour différents disjoncteurs.
Surveillez et utilisez les processus d’intégration et de livraison continues (CICD). Alternez les informations d’identification d’accès à l’API comme les mots de passe et les certificats utilisés par le moteur de profil technique.
Bonnes pratiques pour la gestion des API
Lors du déploiement des API REST et de la configuration du profil technique RESTful, respectez les bonnes pratiques suivantes pour éviter les erreurs courantes.
Gestion des API
L’outil API Management (APIM) publie, gère et analyse vos API. APIM gère également l’authentification pour sécuriser l’accès aux services principaux et aux microservices. Utilisez une passerelle API pour effectuer un scale-out des déploiements d’API, de la mise en cache et de l’équilibrage de charge.
Nous vous recommandons d’obtenir le bon jeton plutôt que d’appeler des API à plusieurs reprises et de sécuriser une API APIM Azure.