Mengamankan aplikasi App Service Anda

  • 3 menit

Azure App Service menyediakan dukungan autentikasi dan otorisasi bawaan. Anda dapat memasukkan pengguna dan mengakses data dengan menulis kode minimal atau tanpa kode di aplikasi web, API, dan backend seluler Anda, dan juga aplikasi Azure Functions Anda.

Autentikasi dan otorisasi yang aman memerlukan pemahaman mendalam tentang keamanan, termasuk federasi, enkripsi, manajemen token web JSON (JWT), jenis pemberian, dan sebagainya. App Service menyediakan utilitas ini sehingga Anda dapat menghabiskan lebih banyak waktu dan energi untuk memberikan nilai bisnis kepada pelanggan Anda.

Catatan

Anda tidak diharuskan menggunakan Azure App Service untuk autentikasi dan otorisasi. Banyak kerangka kerja web dibundel dengan fitur keamanan, dan Anda dapat menggunakan layanan pilihan Anda.

Hal-hal yang perlu diketahui tentang keamanan aplikasi dengan App Service

Mari kita lihat lebih dekat bagaimana App Service membantu Anda memberikan keamanan untuk aplikasi Anda.

  • Modul keamanan autentikasi dan otorisasi di Azure App Service berjalan di lingkungan yang sama dengan kode aplikasi Anda, namun secara terpisah.

  • Modul keamanan dikonfigurasi dengan menggunakan pengaturan aplikasi. Tidak diperlukan SDK, bahasa tertentu, atau perubahan pada kode aplikasi Anda.

  • Saat Anda mengaktifkan modul keamanan, setiap permintaan HTTP masuk melewati modul sebelum ditangani oleh kode aplikasi Anda.

  • Modul keamanan menangani beberapa tugas untuk aplikasi Anda:

    • Mengautentikasi pengguna dengan penyedia yang ditentukan
    • Memvalidasi, menyimpan, dan menyegarkan token
    • Mengelola sesi terautentikasi
    • Menyuntikkan informasi identitas ke header permintaan

Hal-hal yang perlu dipertimbangkan saat menggunakan App Service untuk keamanan aplikasi

Anda mengonfigurasi keamanan autentikasi dan otorisasi di App Service dengan memilih fitur Di portal Azure. Tinjau opsi berikut dan pikirkan keamanan apa yang dapat menguntungkan implementasi aplikasi App Service Anda.

  • Izinkan permintaan Anonim (tanpa tindakan). Tangguhkan otorisasi lalu lintas yang tidak diaauthenticated ke kode aplikasi Anda. Untuk permintaan terautentikasi, App Service juga meneruskan informasi autentikasi di header HTTP. Fitur ini memberikan lebih banyak fleksibilitas untuk menangani permintaan anonim. Dengan fitur ini, Anda dapat menyajikan beberapa penyedia masuk kepada pengguna Anda.

  • Izinkan hanya permintaan terautentikasi. Alihkan semua permintaan anonim ke /.auth/login/<provider> penyedia yang Anda pilih. Fitur ini setara dengan Masuk dengan <penyedia>. Jika permintaan anonim berasal dari aplikasi seluler asli, respons yang HTTP 401 Unauthorized dikembalikan adalah pesan. Dengan fitur ini, Anda tidak perlu menulis kode autentikasi apa pun di aplikasi Anda.

    Penting

    Fitur ini membatasi akses ke semua panggilan ke aplikasi Anda. Membatasi akses ke semua panggilan mungkin tidak diinginkan jika aplikasi Anda memerlukan halaman beranda publik, seperti halnya untuk banyak aplikasi satu halaman.

  • Pengelogan dan pelacakan. Lihat jejak autentikasi dan otorisasi langsung di file log Anda. Jika Anda melihat kesalahan autentikasi yang tidak Anda harapkan, Anda dapat dengan mudah menemukan semua detail dengan melihat log aplikasi yang ada. Jika Anda mengaktifkan pelacakan permintaan yang gagal, Anda dapat melihat dengan tepat bagaimana modul keamanan berpartisipasi dalam permintaan yang gagal. Dalam catatan jejak, cari referensi ke modul bernama EasyAuthModule_32/64.