Udostępnij za pośrednictwem

Zero Trust identity and access management development best practices (Najlepsze rozwiązania dotyczące tworzenia tożsamości i zarządzania dostępem w modelu Zero Trust)

  • Artykuł

Ten artykuł pomaga, jako deweloper, zrozumieć najlepsze rozwiązania dotyczące zarządzania tożsamościami i dostępem dla cyklu tworzenia aplikacji. Rozpoczynasz tworzenie bezpiecznych, zgodnych ze standardem Zero Trust aplikacji z zarządzaniem tożsamościami i dostępem (IAM).

Platforma zabezpieczeń Zero Trust używa zasad jawnej weryfikacji, najmniej uprzywilejowanego dostępu i przy założeniu naruszenia. Zabezpieczanie użytkowników i danych przy jednoczesnym umożliwieniu typowych scenariuszy, takich jak dostęp do aplikacji spoza obwodu sieci. Zmniejsz zależność od niejawnego zaufania do interakcji za bezpiecznym obwodem sieci, które mogą stać się podatne na ataki zabezpieczeń.

Chociaż implementacja modelu Zero Trust nadal ewoluuje, podróż każdej organizacji jest unikatowa i często zaczyna się od tożsamości użytkowników i aplikacji. Poniżej przedstawiono zasady i mechanizmy kontroli, które mają priorytet dla wielu organizacji podczas wdrażania modelu Zero Trust:

  1. Zaimplementuj zasady higieny poświadczeń i rotacji dla aplikacji i usług. Gdy osoby atakujące naruszyją zabezpieczenia wpisów tajnych, takich jak certyfikaty lub hasła, mogą uzyskać szczegółowy dostęp do systemu w celu uzyskania tokenów pod pozorem tożsamości aplikacji. Następnie uzyskują dostęp do poufnych danych, przenoszą się później i ustanawiają trwałość.
  2. Wdrażanie silnego uwierzytelniania. Administratorzy IT konfigurują zasady, które wymagają uwierzytelniania wieloskładnikowego i urządzeń FIDO2 bez hasła.
  3. Ogranicz zgodę użytkownika na aplikacje z uprawnieniami niskiego ryzyka do zweryfikowanych aplikacji wydawcy. Dostęp do danych w interfejsach API, takich jak Program Microsoft Graph, umożliwia tworzenie zaawansowanych aplikacji. Organizacje i klienci oceniają żądania uprawnień aplikacji i wiarygodność przed udzieleniem zgody. Administratorzy IT korzystają z zasady weryfikacji jawnie, wymagając weryfikacji wydawcy. Stosują zasadę najniższych uprawnień, zezwalając tylko użytkownikowi na uprawnienia o niskim ryzyku.
  4. Blokowanie starszych protokołów i interfejsów API. Administratorzy IT blokują starsze protokoły uwierzytelniania, takie jak "uwierzytelnianie podstawowe" i wymagają nowoczesnych protokołów, takich jak OpenID Połączenie i OAuth2.

Korzystanie z zaufanych bibliotek uwierzytelniania opartych na standardach

Twórz aplikację przy użyciu znanych i akceptowanych standardów i bibliotek, aby zwiększyć przenośność i bezpieczeństwo aplikacji. Zaufane biblioteki uwierzytelniania oparte na standardach są aktualne, aby aplikacje reagowały na najnowsze technologie i zagrożenia. Metodologie opracowywania oparte na standardach to omówienie obsługiwanych standardów i ich korzyści.

Zamiast używać protokołów ze znanymi lukami w zabezpieczeniach i obszernej dokumentacji, opracuj aplikację przy użyciu bibliotek takich jak Biblioteka Microsoft Authentication Library (MSAL), biblioteka uwierzytelniania sieci Web tożsamości firmy Microsoft i zestawy Azure Software Developer Kit (SDK). Zestawy MSAL i Software Developer Kit (SDK) umożliwiają korzystanie z tych funkcji bez konieczności pisania dodatkowego kodu:

  • Dostęp warunkowy
  • Rejestracja urządzeń i zarządzanie nimi
  • Uwierzytelnianie bez hasła i FIDO2

Biblioteka MSAL i program Microsoft Graph to najlepsze rozwiązania do tworzenia aplikacji firmy Microsoft Entra. Deweloperzy biblioteki MSAL zapewniają zgodność z protokołami. Firma Microsoft optymalizuje bibliotekę MSAL pod kątem wydajności podczas bezpośredniej pracy z identyfikatorem Entra firmy Microsoft.

Rejestrowanie aplikacji w identyfikatorze Entra firmy Microsoft

Postępuj zgodnie z najlepszymi rozwiązaniami dotyczącymi zabezpieczeń dla właściwości aplikacji w identyfikatorze Entra firmy Microsoft. Rejestracja aplikacji w identyfikatorze Entra firmy Microsoft ma kluczowe znaczenie, ponieważ błędna konfiguracja lub przerwa w higienie aplikacji może spowodować przestój lub naruszenie zabezpieczeń.

Właściwości aplikacji zwiększające bezpieczeństwo obejmują identyfikator URI przekierowania, tokeny dostępu (nigdy nie są używane z niejawnymi przepływami), certyfikaty i wpisy tajne, identyfikator URI identyfikatora aplikacji i własność aplikacji. Przeprowadzaj okresowe oceny zabezpieczeń i kondycji podobne do ocen modelu zagrożeń zabezpieczeń dla kodu.

Delegowanie zarządzania tożsamościami i dostępem

Utwórz aplikację, aby używać tokenów do jawnej weryfikacji tożsamości i kontroli dostępu, którą klienci definiują i zarządzają. Firma Microsoft zaleca opracowywanie własnych systemów zarządzania nazwami użytkownika i hasłami.

Zachowaj poświadczenia poza kodem, aby administratorzy IT mogli obracać poświadczenia bez wyłączania lub ponownego wdrażania aplikacji. Użyj usługi, takiej jak Azure Key Vault lub Tożsamości zarządzane platformy Azure, aby delegować zarządzanie dostępem i tożsamościami.

Planowanie i projektowanie dostępu do najniższych uprawnień

Kluczową zasadą zerowego zaufania jest najniższy dostęp uprzywilejowany. Wystarczająco opracowywać i dokumentować aplikację, aby klienci mogli pomyślnie skonfigurować zasady najniższych uprawnień. Podczas obsługi tokenów i interfejsów API podaj klientom dobrą dokumentację zasobów wywoływanych przez aplikację.

Zawsze należy podać najmniejsze uprawnienia wymagane dla użytkownika do wykonywania określonych zadań. Na przykład użyj szczegółowych zakresów w programie Microsoft Graph.

Zapoznaj się z zakresami w Eksploratorze programu Graph, aby wywołać interfejs API i sprawdzić wymagane uprawnienia. Są one wyświetlane w kolejności od najniższych do najwyższych uprawnień. Wybranie najniższych możliwych uprawnień gwarantuje, że aplikacja jest mniej podatna na ataki.

Postępuj zgodnie ze wskazówkami w artykule Zwiększanie bezpieczeństwa z zasadą najniższych uprawnień , aby zmniejszyć powierzchnie ataków aplikacji, a promień wybuchu naruszenia zabezpieczeń powinien zostać naruszony.

Bezpieczne zarządzanie tokenami

Gdy aplikacja żąda tokenów z identyfikatora Entra firmy Microsoft, bezpiecznie zarządzaj nimi:

  • Sprawdź, czy są one prawidłowo ograniczone do aplikacji.
  • Odpowiednio buforuj je.
  • Użyj ich zgodnie z oczekiwaniami.
  • Obsługa problemów z tokenem przez sprawdzenie klas błędów i kodowanie odpowiednich odpowiedzi.
  • Zamiast bezpośrednio odczytywać tokeny dostępu, wyświetl ich zakresy i szczegóły w odpowiedziach tokenu.

Obsługa oceny ciągłego dostępu (CAE)

Ciągła ocena dostępu (CAE) umożliwia programowi Microsoft Graph szybkie odmawianie dostępu w odpowiedzi na zdarzenia zabezpieczeń. Przykłady obejmują następujące działania administratora dzierżawy:

  • Usuwanie lub wyłączanie konta użytkownika.
  • Włączanie uwierzytelniania wieloskładnikowego (MFA) dla użytkownika.
  • Jawne odwołowanie wystawionych tokenów użytkownika.
  • Wykrywanie użytkownika przechodzącego do stanu wysokiego ryzyka.

W przypadku obsługi caE tokeny, które występują w przypadku problemów z identyfikatorem Entra firmy Microsoft w celu wywołania programu Microsoft Graph, są ważne przez 24 godziny zamiast standardowej 60–90 minut. Usługa CAE dodaje odporność do aplikacji, umożliwiając usłudze MSAL aktywne odświeżanie tokenu na znacznie przed wygaśnięciem tokenu.

Definiowanie ról aplikacji dla it w celu przypisania do użytkowników i grup

Role aplikacji ułatwiają implementowanie kontroli dostępu opartej na rolach w aplikacjach. Typowe przykłady ról aplikacji obejmują Administracja istrator, czytelnik i współautor. Kontrola dostępu oparta na rolach umożliwia aplikacji ograniczanie poufnych akcji do użytkowników lub grup na podstawie zdefiniowanych ról.

Zostań zweryfikowanym wydawcą

Jako zweryfikowany wydawca zweryfikujesz swoją tożsamość przy użyciu konta microsoft Partner Network i ukończysz ustalony proces weryfikacji. W przypadku deweloperów aplikacji wielodostępnych weryfikowany wydawca pomaga w budowaniu zaufania z administratorami IT w dzierżawach klientów.

Następne kroki