Jelszó nélküli kapcsolatok az Azure-szolgáltatásokhoz

  • Cikk

Megjegyzés:

A jelszó nélküli kapcsolatok egy több Azure-szolgáltatást felölelő nyelvfüggetlen funkció. Bár a jelenlegi dokumentáció néhány nyelvre és szolgáltatásra összpontosít, jelenleg további dokumentációt készítünk más nyelvekhez és szolgáltatásokhoz.

Ez a cikk a jelszavakkal kapcsolatos biztonsági kihívásokat ismerteti, és jelszó nélküli kapcsolatokat vezet be az Azure-szolgáltatásokhoz.

Biztonsági kihívások jelszavakkal és titkos kódokkal

A jelszavakat és titkos kulcsokat körültekintően kell használni, és a fejlesztőknek soha nem szabad nem biztonságos helyre helyezniük őket. Számos alkalmazás csatlakozik a háttéradatbázishoz, a gyorsítótárhoz, az üzenetkezeléshez és az eseménykezelési szolgáltatásokhoz felhasználónevek, jelszavak és hozzáférési kulcsok használatával. Ha nyilvánosságra kerülnek, ezek a hitelesítő adatok arra használhatók, hogy jogosulatlanul hozzáférjenek a bizalmas információkhoz, például egy közelgő kampányhoz létrehozott értékesítési katalógushoz, vagy az ügyféladatokhoz, amelyeknek privátnak kell lenniük.

A jelszavak alkalmazásokba való beágyazása számos okból óriási biztonsági kockázatot jelent, beleértve a kódtárakon keresztüli felderítést is. Sok fejlesztő környezeti változók használatával külsőleg külsőre helyezi az ilyen jelszavakat, hogy az alkalmazások különböző környezetekből tölthesse be őket. Ez azonban csak a kockázatot magára a kódra váltódik végrehajtási környezetbe. Bárki, aki hozzáfér a környezethez, ellophatja a jelszavakat, ami viszont növeli az adatkiszivárgás kockázatát.

Az alábbi példakód bemutatja, hogyan csatlakozhat az Azure Storage-hoz egy tárfiókkulcs használatával. Sok fejlesztő azért látja el ezt a megoldást, mert ismerősnek érzi a korábban használt lehetőségeket, még akkor is, ha nem ideális megoldás. Ha az alkalmazás jelenleg hozzáférési kulcsokat használ, fontolja meg a jelszó nélküli kapcsolatokra való migrálást.

// Connection using secret access keys
BlobServiceClient blobServiceClient = new(
    new Uri("https://<storage-account-name>.blob.core.windows.net"),
    new StorageSharedKeyCredential("<storage-account-name>", "<your-access-key>"));

A fejlesztőknek szorgalmasnak kell lenniük, hogy soha ne tegyenek közzé ilyen típusú kulcsokat vagy titkos kulcsokat nem biztonságos helyen. Számos vállalat szigorú biztonsági követelményekkel rendelkezik az Azure-szolgáltatásokhoz való csatlakozáshoz anélkül, hogy jelszavakat adnának meg a fejlesztőknek, operátoroknak vagy bárki másnak. Gyakran tárolóval tárolják és töltik be a jelszavakat az alkalmazásokba, és a jelszóváltási követelmények és eljárások hozzáadásával tovább csökkentik a kockázatot. Ez a megközelítés viszont növeli az üzemeltetés összetettségét, és időnként alkalmazáskapcsolat-kimaradásokhoz vezet.

Jelszó nélküli kapcsolatok és Teljes felügyelet

Mostantól jelszó nélküli kapcsolatokat használhat az alkalmazásokban az Azure-alapú szolgáltatásokhoz való csatlakozáshoz anélkül, hogy jelszavakat kellene elforgatnia. Bizonyos esetekben csak a konfigurációra van szükség – nincs szükség új kódra. Teljes felügyelet a "soha nem megbízható, mindig ellenőrizze és hitelesítő adatok nélküli" elvet használja. Ez azt jelenti, hogy az összes kommunikációt úgy lehet biztonságossá tenni, hogy megbízik a gépekben vagy a felhasználókban csak az identitás ellenőrzése után, és mielőtt hozzáférést ad nekik a háttérszolgáltatásokhoz.

A biztonságos, jelszó nélküli kapcsolatokhoz ajánlott hitelesítési lehetőség a felügyelt identitások és az Azure szerepköralapú hozzáférés-vezérlés (RBAC) együttes használata. Ezzel a megközelítéssel nem kell manuálisan nyomon követnie és kezelnie a felügyelt identitások különböző titkos kulcsait, mivel ezeket a feladatokat az Azure belsőleg biztonságosan kezeli.

Az Azure-szolgáltatásokhoz való jelszó nélküli kapcsolatokat a Service Csatlakozás or használatával konfigurálhatja, vagy manuálisan is konfigurálhatja őket. A service Csatlakozás or lehetővé teszi a felügyelt identitásokat az olyan alkalmazás-üzemeltetési szolgáltatásokban, mint az Azure Spring Apps, a Azure-alkalmazás Service és az Azure Container Apps. A service Csatlakozás or emellett jelszó nélküli kapcsolatokkal konfigurálja a háttérszolgáltatásokat felügyelt identitások és az Azure RBAC használatával, és hidratálja az alkalmazásokat a szükséges kapcsolati adatokkal.

Ha megvizsgálja egy jelszó nélküli kapcsolatokhoz konfigurált alkalmazás futó környezetét, láthatja a teljes kapcsolati sztring. A kapcsolati sztring például egy adatbázis-kiszolgáló címét, egy adatbázisnevet és egy utasítást tartalmaz, amely a hitelesítést egy Azure-hitelesítési beépülő modulnak delegálja, de nem tartalmaz jelszavakat vagy titkos kulcsokat.

Az alábbi videó az alkalmazások és az Azure-szolgáltatások jelszó nélküli kapcsolatait mutatja be, példaként Java-alkalmazásokat használva. Hasonló lefedettség várható más nyelvek esetében is.


A DefaultAzureCredential bemutatása

Az Azure-szolgáltatásokhoz a Microsoft Entra ID-n és szerepköralapú hozzáférés-vezérlésen (RBAC) keresztüli jelszó nélküli kapcsolatok implementálhatók az Azure Identity-ügyfélkódtárak használatával DefaultAzureCredential .

Fontos

Egyes nyelveknek explicit módon kell implementálniuk DefaultAzureCredential a kódjukat, míg mások belsőleg használnak DefaultAzureCredential mögöttes beépülő modulokat vagy illesztőprogramokat.

DefaultAzureCredential több hitelesítési módszert támogat, és automatikusan meghatározza, hogy melyiket érdemes futtatókörnyezetben használni. Ez a megközelítés lehetővé teszi, hogy az alkalmazás különböző hitelesítési módszereket használjon különböző környezetekben (helyi fejlesztés és éles környezet) környezetspecifikus kód implementálása nélkül.

A hitelesítő adatok keresésének sorrendje és helye DefaultAzureCredential nyelvenként eltérő:

Ha például helyileg dolgozik a .NET-en, általában azzal a fiókkal hitelesíti magát, DefaultAzureCredential amellyel a fejlesztő bejelentkezett a Visual Studióba, az Azure CLI-be vagy az Azure PowerShellbe. Amikor az alkalmazás üzembe van helyezve az Azure-ban, DefaultAzureCredential automatikusan felderíti és használja a társított üzemeltetési szolgáltatás felügyelt identitását, például Azure-alkalmazás szolgáltatást. Ehhez az áttűnéshez nincs szükség kódmódosításra.

Megjegyzés:

A felügyelt identitás biztonsági identitást biztosít egy alkalmazás vagy szolgáltatás megjelenítéséhez. Az identitást az Azure platform kezeli, és nem követeli meg a titkos kulcsok kiépítését vagy elforgatását. A felügyelt identitásokról az áttekintési dokumentációban olvashat bővebben.

Az alábbi példakód bemutatja, hogyan csatlakozhat a Service Bushoz jelszó nélküli kapcsolatok használatával. Más dokumentáció részletesebben ismerteti, hogyan migrálhat erre a beállításra egy adott szolgáltatáshoz. A .NET-alkalmazások átadhatnak egy példányt DefaultAzureCredential egy szolgáltatásügyfél-osztály konstruktorának. DefaultAzureCredential automatikusan felderíti az adott környezetben elérhető hitelesítő adatokat.

ServiceBusClient serviceBusClient = new(
    new Uri("https://<your-service-bus-namespace>.blob.core.windows.net"),
    new DefaultAzureCredential());

Kapcsolódó információk

A jelszó nélküli kapcsolatok részletesebb magyarázatáért tekintse meg a több Azure-alkalmazás és szolgáltatás közötti jelszó nélküli kapcsolatok konfigurálását ismertető fejlesztői útmutatót.