Bagikan melalui

Berikan kredensial identitas aplikasi saat tidak ada pengguna

  • Artikel

Ketika Anda, sebagai pengembang, sedang membangun aplikasi nonpengguna, Anda tidak memiliki pengguna yang dapat Dimintai nama pengguna dan kata sandi atau Autentikasi Multifaktor (MFA). Anda perlu memberikan identitas aplikasi sendiri. Artikel ini menjelaskan mengapa praktik kredensial klien Zero Trust terbaik untuk layanan (aplikasi nonpengguna) di Azure adalah Identitas Terkelola untuk sumber daya Azure.

Masalah dengan akun layanan

Menggunakan "akun layanan" (membuat akun pengguna dan menggunakannya untuk layanan) bukanlah solusi yang baik. ID Microsoft Entra tidak memiliki konsep akun layanan. Saat admin membuat akun pengguna untuk layanan lalu berbagi kata sandi dengan pengembang, itu tidak aman. Ini tidak boleh tanpa kata sandi atau memiliki MFA. Alih-alih menggunakan akun pengguna sebagai akun layanan, solusi terbaik Anda adalah menggunakan salah satu opsi kredensial klien berikut.

Opsi kredensial klien

Ada empat jenis kredensial klien yang dapat mengidentifikasi aplikasi.

Kunci rahasia atau sertifikat?

Kunci rahasia dapat diterima ketika Anda memiliki infrastruktur manajemen rahasia canggih (seperti Azure Key Vault) di perusahaan Anda. Namun, kunci rahasia dalam skenario di mana IT Pro menghasilkan kunci rahasia dan kemudian mengirimnya melalui email ke pengembang yang kemudian mungkin menyimpannya di lokasi yang tidak aman seperti spreadsheet menyebabkan kunci rahasia tidak dilindungi dengan benar.

Kredensial klien berbasis sertifikat lebih aman daripada kunci rahasia. Sertifikat dikelola dengan lebih baik karena bukan rahasia itu sendiri. Rahasia itu bukan bagian dari transmisi. Saat Anda menggunakan kunci rahasia, klien Anda mengirimkan nilai aktual kunci rahasia ke ID Microsoft Entra. Saat Anda menggunakan sertifikat, kunci privat sertifikat tidak pernah meninggalkan perangkat. Bahkan jika seseorang mencegat, mendekode, dan mende-enkripsi transmisi, rahasia masih aman karena pihak yang mencegat tidak memiliki kunci privat.

Praktik terbaik: gunakan Identitas Terkelola untuk Sumber Daya Azure

Saat Anda mengembangkan layanan (aplikasi nonpengguna) di Azure, Identitas Terkelola untuk Sumber Daya Azure menyediakan identitas yang dikelola secara otomatis di ID Microsoft Entra. Aplikasi ini dapat mengautentikasi ke layanan apa pun yang mendukung autentikasi Microsoft Entra tanpa mengelola kredensial. Anda tidak perlu mengelola rahasia; Anda tidak perlu mengatasi kemungkinan kehilangan atau salah menanganinya. Rahasia tidak dapat dicegat karena tidak bergerak di seluruh jaringan. Identitas Terkelola untuk sumber daya Azure adalah praktik terbaik jika Anda membangun layanan di Azure.

Langkah berikutnya