Alkalmazások regisztrálása

A Microsoft Identitásplatformalkalmazásregisztrációs portál az elsődleges belépési pont azoknak az alkalmazásoknak, amelyek a platformot használják a hitelesítéshez és a kapcsolódó igényekhez. Fejlesztőként, amikor regisztrálja és konfigurálja az alkalmazásait, a választási lehetőségek vezetnek, és hatással vannak arra, hogy az alkalmazás mennyire felel meg a zéró megbízhatósági alapelveknek. A hatékony alkalmazásregisztráció figyelembe veszi a legkevésbé kiemelt hozzáférés használatának alapelveit , és feltételezi a jogsértést. Ez a cikk segít megismerni az alkalmazásregisztrációs folyamatot és annak követelményeit annak érdekében, hogy az alkalmazások a Zero Trust biztonsági megközelítést kövessék.

A Microsoft Entra ID (Microsoft Entra ID) alkalmazáskezelésével biztonságosan hozhat létre, konfigurálhat, kezelhet és figyelhet alkalmazásokat a felhőben. Amikor regisztrálja az alkalmazást egy Microsoft Entra-bérlőben, konfigurálja a biztonságos felhasználói hozzáférést.

A Microsoft Entra ID alkalmazásobjektumok és szolgáltatásnevek szerint jelöli az alkalmazásokat. Néhány kivételtől eltekintve az alkalmazások alkalmazásobjektumok. A szolgáltatás principal egy alkalmazás példánya, amely egy alkalmazásobjektumra hivatkozik. A címtárakban több szolgáltatásnév hivatkozhat egyetlen alkalmazásobjektumra.

Az alkalmazást három módszerrel konfigurálhatja a Microsoft Entra ID használatára: a Visual Studióban, a Microsoft Graph API-val vagy a PowerShell-lel. Az Azure-ban és az API Explorerben fejlesztői szolgáltatások érhetők el a fejlesztői központokban. Tekintse át a fejlesztői és informatikai pro szerepkörökhöz szükséges döntéseket és feladatokat a biztonságos alkalmazások Microsoft Identitásplatform való létrehozásához és üzembe helyezéséhez.

Ki vehet fel és regisztrálhat alkalmazásokat?

A rendszergazdák és ha a bérlő engedélyezi a felhasználókat és a fejlesztőket, alkalmazásobjektumokat hozhatnak létre, amikor alkalmazásokat regisztrálnak az Azure Portalon. Alapértelmezés szerint a címtár összes felhasználója regisztrálhatja az általuk fejlesztett alkalmazásobjektumokat . Az alkalmazásobjektum-fejlesztők eldöntik, hogy mely alkalmazások osztják meg, és hozzájárulásukkal hozzáférést biztosítanak a szervezeti adatokhoz.

Amikor a címtár első felhasználója bejelentkezik egy alkalmazásba, és jóváhagyást ad, a rendszer létrehoz egy szolgáltatásnevet a bérlőben, amely minden felhasználói hozzájárulási információt tárol. A Microsoft Entra ID automatikusan létrehoz egy szolgáltatásnevet egy újonnan regisztrált alkalmazáshoz a bérlőben, mielőtt egy felhasználó hitelesítené magát.

A legalább alkalmazásadminisztrátori vagy felhőalapú alkalmazásadminisztrátori szerepkörrel rendelkező felhasználók bizonyos alkalmazásfeladatokat hajthatnak végre (például alkalmazásokat adhatnak hozzá az alkalmazáskatalógusból, és alkalmazásproxy használatára konfigurálhatják az alkalmazásokat).

Alkalmazásobjektumok regisztrálása

Fejlesztőként regisztrálod a Microsoft identitásplatformot használó alkalmazásokat. Regisztrálja alkalmazásait az Azure Portalon vagy a Microsoft Graph alkalmazás API-k meghívásával. Az alkalmazás regisztrálása után a végpontra küldött kérésekkel kommunikál a Microsoft Identitásplatform.

Előfordulhat, hogy nincs engedélye alkalmazásregisztráció létrehozására vagy módosítására. Ha a rendszergazdák nem adnak engedélyt az alkalmazások regisztrálására, kérdezze meg őket, hogyan továbbíthatja számukra a szükséges alkalmazásregisztrációs adatokat.

Az alkalmazásregisztrációs tulajdonságok a következő összetevőket tartalmazhatják.

  • Név, embléma és közzétevő
  • Egységes erőforrás-azonosítók átirányítása (URI)
  • Titkos kódok (az alkalmazás hitelesítéséhez használt szimmetrikus és/vagy aszimmetrikus kulcsok)
  • API-függőségek (OAuth)
  • Közzétett API-k/erőforrások/hatókörök (OAuth)
  • Alkalmazásszerepkörök szerepköralapú hozzáférés-vezérléshez
  • Metaadatok és konfiguráció egyszeri bejelentkezéshez (SSO), felhasználókiépítéshez és proxyhoz

Az alkalmazásregisztráció kötelező része a támogatott fióktípusok kiválasztása annak meghatározásához, hogy ki használhatja az alkalmazást a felhasználó fióktípusa alapján. A Microsoft Entra rendszergazdái az alkalmazásmodellt követve kezelhetik az alkalmazásobjektumokat az Azure Portalon az Alkalmazásregisztrációk felületen, és meghatároznak olyan alkalmazásbeállításokat, amelyek tájékoztatják a szolgáltatást arról, hogyan adhat ki jogkivonatokat az alkalmazásnak.

A regisztráció során megkapja az alkalmazás identitását: az alkalmazás (ügyfél) azonosítóját. Az alkalmazás az ügyfélazonosítóját használja minden alkalommal, amikor tranzakciót hajt végre a Microsoft Identitásplatform keresztül.

Ajánlott alkalmazásregisztrációs eljárások

Kövesse az alkalmazástulajdonságokkal kapcsolatos ajánlott biztonsági eljárásokat , amikor az alkalmazást a Microsoft Entra ID-ban regisztrálja az üzleti használat kritikus részeként. Törekedjen arra, hogy megakadályozza az állásidőt vagy a kompromittálódást, amely a teljes szervezetet érintheti. Az alábbi javaslatok segítenek biztonságos alkalmazása fejlesztésében a Zero Trust alapelvek köré.

  • A Microsoft Identitásplatform integrációs ellenőrzőlistával biztosíthatja a magas színvonalú és biztonságos integrációt. Az alkalmazás minőségének és biztonságának fenntartása.
  • Megfelelően definiálja az átirányítási URL-címeket. A kompatibilitási és biztonsági problémák elkerülése érdekében hivatkozzon az átirányítási URI (válasz URL-cím) korlátozásaira és korlátozásaira .
  • Az átirányítási URI-kat az alkalmazásregisztráció során ellenőrizze a domain átvétel elkerülése érdekében. Az átirányítási URL-címeknek olyan tartományokon kell lenniük, amelyeket ismer és birtokol. Rendszeresen tekintse át és távolítsa el a szükségtelen és a nem használt URI-kat. Éles alkalmazásokban ne használjon nem https URI-kat.
  • Mindig definiáljon és tartson fenn alkalmazás- és szolgáltatásnév-tulajdonosokat a bérlő regisztrált alkalmazásaihoz. Kerülje az árva alkalmazásokat (a hozzárendelt tulajdonosok nélküli alkalmazásokat és szolgáltatásneveket ). Győződjön meg arról, hogy az informatikai rendszergazdák vészhelyzet esetén könnyen és gyorsan azonosíthatják az alkalmazástulajdonosokat. Tartsa alacsonyan az alkalmazástulajdonosok számát. Megnehezítheti, hogy egy feltört felhasználói fiók több alkalmazást is érintsen.
  • Ne használja ugyanazt az alkalmazásregisztrációttöbb alkalmazáshoz. Az alkalmazásregisztrációk elkülönítésével lehetővé teheti a legkevésbé kiemelt hozzáférést, és csökkentheti a biztonsági incidensek hatását.
    • Használjon külön alkalmazásregisztrációkat azokhoz az alkalmazásokhoz, amelyek felhasználókat jelentkeztetnek be, valamint azokhoz, amelyek API-n keresztül teszik elérhetővé az adatokat és műveleteket (kivéve, ha szorosan összekapcsoltak). Ez a megközelítés lehetővé teszi a magasabb szintű jogosultságú API-k, például a Microsoft Graph és a hitelesítő adatok (például titkos kódok és tanúsítványok) engedélyeit, távol azoktól az alkalmazásoktól, amelyek bejelentkeznek és interakcióba lépnek a felhasználókkal.
    • Használjon külön alkalmazásregisztrációkat webalkalmazásokhoz és API-khoz. Ez a módszer segít biztosítani, hogy ha a webes API nagyobb engedélykészlettel rendelkezik, akkor az ügyfélalkalmazás ne örökölje őket.
  • Határozza meg az alkalmazását multi-tenant alkalmazásként csak akkor, ha szükséges. A több-bérlős alkalmazások lehetővé teszik a kiépítést az Önén kívüli bérlőkben. A nem kívánt hozzáférés szűréséhez több felügyeleti többletterhelésre van szükség. Ha nem szeretné több-bérlős alkalmazásként fejleszteni az alkalmazást, kezdje az AzureADMyOrg SignInAudience értékével.

Következő lépések

  • Last updated on