Procedure consigliate per la gestione delle identità e degli accessi Zero Trust

Questo articolo consente agli sviluppatori di comprendere le procedure consigliate per la gestione delle identità e degli accessi per il ciclo di vita di sviluppo delle applicazioni. Si inizia a sviluppare applicazioni sicure e conformi a Zero Trust con la gestione delle identità e degli accessi (IAM).

Il framework di sicurezza Zero Trust usa i principi della verifica esplicita, dell'accesso con privilegi minimi e presupponendo la violazione. Proteggere utenti e dati consentendo scenari comuni, ad esempio l'accesso alle applicazioni dall'esterno del perimetro di rete. Ridurre la dipendenza dall'attendibilità implicita alle interazioni dietro un perimetro di rete sicuro che può diventare vulnerabile agli attacchi alla sicurezza.

Le tendenze di sicurezza del settore influiscono sui requisiti delle applicazioni

Mentre l'implementazione zero trust continua a evolversi, il percorso di ogni organizzazione è univoco e spesso inizia con l'identità dell'utente e dell'applicazione. Ecco i criteri e i controlli che molte organizzazioni assegnano priorità durante l'implementazione di Zero Trust:

1. Implementare criteri di igiene e rotazione delle credenziali per app e servizi. Quando gli utenti malintenzionati compromettono segreti come certificati o password, possono ottenere una profondità di accesso al sistema per acquisire i token sotto la forma dell'identità di un'app. Accedono quindi ai dati sensibili, si spostano in un secondo momento e stabiliscono la persistenza.
2. Implementare l'autenticazione avanzata. Gli amministratori IT configurano criteri che richiedono l'autenticazione a più fattori e i dispositivi FIDO2 senza password.
3. Limitare il consenso dell'utente alle app con autorizzazioni a basso rischio per le app di pubblicazione verificate. L'accesso ai dati nelle API come Microsoft Graph consente di creare applicazioni avanzate. Le organizzazioni e i clienti valutano le richieste di autorizzazione dell'app e la attendibilità prima di concedere il consenso. Gli amministratori IT stanno adottando il principio di verifica in modo esplicito richiedendo la verifica dell'autore. Applicano il principio dei privilegi minimi consentendo solo il consenso dell'utente per le autorizzazioni a basso rischio.
4. Blocco di protocolli e API legacy. Gli amministratori IT bloccano protocolli di autenticazione meno recenti, ad esempio "Autenticazione di base" e richiedono protocolli moderni come OpenID Connessione e OAuth2.

Usare librerie di autenticazione attendibili basate su standard

Sviluppare l'applicazione con standard e librerie noti e accettati per aumentare la portabilità e la sicurezza delle applicazioni. Le librerie di autenticazione basate su standard sono sempre aggiornate in modo che le app siano reattive alle tecnologie e alle minacce più recenti. Le metodologie di sviluppo basate su standard offrono una panoramica degli standard supportati e dei relativi vantaggi.

Invece di usare protocolli con vulnerabilità note e documentazione completa, sviluppare l'applicazione con librerie come Microsoft Authentication Library (MSAL), Microsoft Identity Web Authentication Library e Azure Software Developer Kit (SDK). MSAL e Software Developer Kit (SDK) consentono di usare queste funzionalità senza dover scrivere codice aggiuntivo:

• Accesso condizionale
• Registrazione e gestione dei dispositivi
• Autenticazione senza password e FIDO2

MSAL e Microsoft Graph sono le scelte migliori per lo sviluppo di applicazioni Microsoft Entra. Gli sviluppatori MSAL garantiscono la conformità ai protocolli. Microsoft ottimizza MSAL per l'efficienza quando si lavora direttamente con Microsoft Entra ID.

Registrare le app in Microsoft Entra ID

Seguire le procedure consigliate per la sicurezza per le proprietà dell'applicazione in Microsoft Entra ID. La registrazione dell'applicazione nell'ID Microsoft Entra è fondamentale perché l'igiene dell'applicazione può causare tempi di inattività o compromissione.

Le proprietà dell'applicazione che migliorano la sicurezza includono URI di reindirizzamento, token di accesso (mai usati con flussi impliciti), certificati e segreti, URI ID applicazione e proprietà dell'applicazione. Eseguire valutazioni periodiche di sicurezza e integrità simili alle valutazioni del modello di minaccia per la sicurezza per il codice.

Delegare la gestione delle identità e degli accessi

Sviluppare l'applicazione per usare i token per la verifica esplicita dell'identità e il controllo di accesso definiti e gestiti dai clienti. Microsoft consiglia di sviluppare sistemi di gestione di nome utente e password personalizzati.

Mantenere le credenziali fuori dal codice in modo che gli amministratori IT possano ruotare le credenziali senza arrestare o ridistribuire l'app. Usare un servizio come Azure Key Vault o identità gestite di Azure per delegare IAM.

Pianificare e progettare l'accesso con privilegi minimi

Un principio chiave di Zero Trust è l'accesso con privilegi minimi. Sviluppare e documentare sufficientemente l'applicazione in modo che i clienti possano configurare correttamente i criteri con privilegi minimi. Quando si supportano token e API, fornire ai clienti una buona documentazione delle risorse chiamate dall'applicazione.

Fornire sempre il privilegio minimo necessario per l'utente per eseguire attività specifiche. Ad esempio, usare ambiti granulari in Microsoft Graph.

Esplorare gli ambiti in Graph Explorer per chiamare un'API ed esaminare le autorizzazioni necessarie. Vengono visualizzati in ordine dal privilegio più basso al più alto. La scelta del privilegio più basso possibile garantisce che l'applicazione sia meno vulnerabile agli attacchi.

Seguire le indicazioni riportate in Migliorare la sicurezza con il principio dei privilegi minimi per ridurre le superfici di attacco delle applicazioni e il raggio di violazione della sicurezza devono verificarsi compromessi.

Gestire in modo sicuro i token

Quando l'applicazione richiede token dall'ID Microsoft Entra, gestirli in modo sicuro:

• Verificare che l'ambito sia corretto per l'applicazione.
• Memorizzarli nella cache in modo appropriato.
• Usarli come previsto.
• Gestire i problemi del token controllando le classi di errore e codificando le risposte appropriate.
• Anziché leggere direttamente i token di accesso, visualizzare gli ambiti e i dettagli nelle risposte del token.

Supportare la valutazione dell'accesso continuo (CAE)

La valutazione dell'accesso continuo consente a Microsoft Graph di negare rapidamente l'accesso in risposta agli eventi di sicurezza. Gli esempi includono queste attività di amministratore tenant:

• Eliminazione o disabilitazione di un account utente.
• Abilitazione dell'autenticazione a più fattori (MFA) per un utente.
• Revoca in modo esplicito dei token rilasciati da un utente.
• Rilevamento dello stato di rischio elevato da parte di un utente.

Quando si supporta CAE, i token che Microsoft Entra ID emette per chiamare Microsoft Graph sono validi per 24 ore invece dei 60-90 minuti standard. CAE aggiunge resilienza all'app abilitando MSAL per aggiornare in modo proattivo il token prima della scadenza del token.

Definire i ruoli dell'app per l'IT da assegnare a utenti e gruppi

I ruoli dell'app consentono di implementare il controllo degli accessi in base al ruolo nelle applicazioni. Esempi comuni di ruoli dell'app includono Amministrazione istrator, Lettore e Collaboratore. Il controllo degli accessi in base al ruolo consente all'applicazione di limitare le azioni sensibili a utenti o gruppi in base ai ruoli definiti.

Diventare un editore verificato

Gli editori verificati verificano l'identità con l'account Microsoft Partner Network e completano il processo di verifica stabilito. Per gli sviluppatori di app multi-tenant, l'autore verificato consente di creare una relazione di trust con gli amministratori IT nei tenant dei clienti.

Passaggi successivi

• Personalizzare i token descrive le informazioni che è possibile ricevere nei token di Microsoft Entra. Informazioni su come personalizzare i token per migliorare la flessibilità e il controllo aumentando al contempo la sicurezza Zero Trust dell'applicazione con privilegi minimi.
• Configurare le attestazioni di gruppo e i ruoli dell'app nei token descrive come configurare le app con definizioni di ruolo dell'app e assegnare gruppi di sicurezza ai ruoli dell'app. Questo approccio migliora la flessibilità e il controllo aumentando al contempo la sicurezza Zero Trust dell'applicazione con privilegi minimi.
• La creazione di app con un approccio Zero Trust all'identità offre una panoramica delle autorizzazioni e delle procedure consigliate per l'accesso.
• La guida alle integrazioni di identità illustra come integrare soluzioni di sicurezza con i prodotti Microsoft per creare soluzioni Zero Trust.
• Le responsabilità degli sviluppatori e degli amministratori per la registrazione, l'autorizzazione e l'accesso dell'applicazione consentono di collaborare meglio con i professionisti IT.
• I tipi di identità e account supportati per le app a tenant singolo e multi-tenant spiegano come è possibile scegliere se l'app consente solo agli utenti del tenant di Microsoft Entra ID), a qualsiasi tenant di Microsoft Entra o agli utenti con account Microsoft personali.
• Le procedure consigliate per l'autorizzazione consentono di implementare i modelli di autorizzazione, autorizzazione e consenso ottimali per le applicazioni.
• Protezione API descrive le procedure consigliate per proteggere l'API tramite la registrazione, la definizione di autorizzazioni e il consenso e l'applicazione dell'accesso per raggiungere gli obiettivi zero trust.