Pertimbangan manajemen identitas dan akses untuk akselerator zona pendaratan App Service

  • Artikel

Artikel ini menyediakan pertimbangan desain dan rekomendasi untuk manajemen identitas dan akses yang dapat Anda terapkan saat Anda menggunakan akselerator zona pendaratan Azure App Service. Autentikasi dan konfigurasi aplikasi adalah beberapa pertimbangan yang dibahas artikel ini.

Pelajari selengkapnya tentang area desain manajemen identitas dan akses.

Pertimbangan Desain

Saat Anda menggunakan akselerator zona pendaratan untuk menyebarkan solusi App Service, ada beberapa pertimbangan utama untuk identitas utama dan manajemen akses:

  • Tentukan tingkat keamanan dan isolasi yang diperlukan untuk aplikasi dan datanya. Akses publik memungkinkan siapa pun dengan URL aplikasi mengakses aplikasi, sementara akses privat membatasi akses hanya untuk pengguna dan jaringan yang berwenang.
  • Tentukan jenis autentikasi dan otorisasi yang diperlukan untuk solusi App Service Anda: anonim, pengguna perusahaan internal, akun sosial, penyedia identitas lain, atau kombinasi dari jenis ini.
  • Tentukan apakah akan menggunakan identitas terkelola yang ditetapkan sistem atau ditetapkan pengguna saat solusi App Service Anda tersambung ke sumber daya back-end yang dilindungi oleh ID Microsoft Entra.
  • Pertimbangkan untuk membuat peran kustom, mengikuti prinsip hak istimewa paling sedikit ketika peran di luar kotak memerlukan modifikasi pada izin yang ada.
  • Pilih penyimpanan keamanan yang ditingkatkan untuk kunci, rahasia, sertifikat, dan konfigurasi aplikasi.
    • Gunakan konfigurasi aplikasi untuk berbagi nilai konfigurasi umum yang bukan kata sandi, rahasia, atau kunci antara aplikasi, layanan mikro, dan aplikasi tanpa server.
    • Gunakan Azure Key Vault. Ini menyediakan penyimpanan kata sandi, string koneksi, kunci, rahasia, dan sertifikat keamanan yang ditingkatkan. Anda dapat menggunakan Key Vault untuk menyimpan rahasia Anda lalu mengaksesnya dari aplikasi App Service Anda melalui identitas terkelola App Service. Dengan demikian, Anda dapat membantu menjaga rahasia Anda tetap aman sambil tetap menyediakan akses ke rahasia tersebut dari aplikasi Anda sesuai kebutuhan.

Rekomendasi desain

Anda harus menggabungkan praktik terbaik berikut ke dalam penyebaran App Service Anda:

  • Jika solusi App Service memerlukan autentikasi:
    • Jika akses ke seluruh solusi App Service perlu dibatasi untuk pengguna yang diautentikasi, nonaktifkan akses anonim.
    • Gunakan kemampuan autentikasi dan otorisasi bawaan App Service alih-alih menulis kode autentikasi dan otorisasi Anda sendiri.
    • Gunakan pendaftaran aplikasi terpisah untuk slot atau lingkungan terpisah.
    • Jika solusi App Service hanya ditujukan untuk pengguna internal, gunakan autentikasi sertifikat klien untuk meningkatkan keamanan.
    • Jika solusi App Service ditujukan untuk pengguna eksternal, gunakan Azure AD B2C untuk mengautentikasi ke akun sosial dan akun Microsoft Entra.
  • Gunakan peran bawaan Azure jika memungkinkan. Peran ini dirancang untuk menyediakan sekumpulan izin yang umumnya diperlukan untuk skenario tertentu, seperti peran Pembaca untuk pengguna yang memerlukan akses baca-saja dan peran Kontributor bagi pengguna yang perlu dapat membuat dan mengelola sumber daya.
    • Jika peran bawaan tidak memenuhi kebutuhan Anda, Anda dapat membuat peran kustom dengan menggabungkan izin dari satu atau beberapa peran bawaan. Dengan demikian, Anda dapat memberikan serangkaian izin yang tepat yang dibutuhkan pengguna Anda sambil tetap mengikuti prinsip hak istimewa paling sedikit.
    • Pantau sumber daya App Service Anda secara teratur untuk memastikan bahwa sumber daya tersebut digunakan sesuai dengan kebijakan keamanan Anda. Melakukannya dapat membantu Anda mengidentifikasi akses atau perubahan yang tidak sah dan mengambil tindakan yang sesuai.
  • Gunakan prinsip hak istimewa paling sedikit saat Anda menetapkan izin kepada pengguna, grup, dan layanan. Prinsip ini menyatakan bahwa Anda hanya boleh memberikan izin minimum yang diperlukan untuk melakukan tugas tertentu, dan tidak lagi. Mengikuti panduan ini dapat membantu Anda mengurangi risiko perubahan yang tidak disengaja atau berbahaya pada sumber daya Anda.
  • Gunakan identitas terkelola yang ditetapkan sistem untuk mengakses, dengan keamanan yang ditingkatkan, sumber daya back-end yang dilindungi oleh ID Microsoft Entra. Melakukannya memungkinkan Anda mengontrol sumber daya mana yang dapat diakses oleh solusi App Service dan izin apa yang dimilikinya untuk sumber daya tersebut.
  • Untuk penyebaran otomatis, siapkan perwakilan layanan yang memiliki izin minimum yang diperlukan untuk disebarkan dari alur CI/CD.
  • Aktifkan log akses AppServiceHTTPLogs pengelogan diagnostik untuk App Service. Anda dapat menggunakan log terperinci ini untuk mendiagnosis masalah dengan aplikasi Anda dan memantau permintaan akses. Mengaktifkan log ini juga menyediakan log aktivitas Azure Monitor yang memberi Anda wawasan tentang peristiwa tingkat langganan.
  • Ikuti rekomendasi yang diuraikan di bagian Manajemen identitas dan Akses istimewa dari garis besar keamanan Azure untuk App Service.

Tujuan manajemen identitas dan akses untuk akselerator zona pendaratan adalah untuk membantu memastikan bahwa aplikasi yang disebarkan dan sumber daya terkait aman dan hanya dapat diakses oleh pengguna yang berwenang. Melakukannya dapat membantu Anda melindungi data sensitif dan mencegah penyalahgunaan aplikasi dan sumber dayanya.