Uygulama izinleri stratejisi geliştirme

  • Makale

Sıfır Güven ilkeleri kullanarak geliştirmeyi öğrenirken kaynaklara erişmek için yetkilendirme alma ve Temsilci izin stratejisi geliştirme konularını gözden geçirdikten sonra bu makaleye başvurun. Uygulamalarınızın kimliğini doğrulamak ve yetkilendirmek, izinleri ve onayları yönetmek için Microsoft kimlik platformu kullandığınızda kimlik bilgileri yönetimine yönelik uygulama izinleri yaklaşımınızı tanımlayın.

Hiçbir kullanıcı dahil olmadığında, uygulamanıza her zaman uygulamanızın belirli kullanıcısının verdiği izinlerle aynı izinler verildiğinden etkili bir izin modeline sahip olmazsınız.

  • Uygulama, izin isteyen uygulama olduğunu kanıtlar. Uygulamanız aşağıdaki yöntemlerden biriyle kendi kimliğini kanıtlayacak:

  • Uygulama her zaman önceden yönetici onayı gerektirir. Uygulamanız kapsamla birlikte bu izni isteyecektir .default . Yöneticinin uygulamaya atayacağı izinleri istemektedir. Belirli bir kapsamın adlandırması ne olursa olsun, bu izinler varsayılan olarak tüm kullanıcılara uygulanır.

  • Trans kullanıcı işlevselliği. Varsayılan olarak, User.ReadWrite.All uygulamanızın bile Calendar.Readher kullanıcının profilini güncelleştirmesine izin verir. Uygulama izni olarak, uygulamanızın kiracıdaki her kullanıcının Takvimini okumasına izin verir.

  • Uygulamaya verilen izinler her zaman kullanılan izinlerdir. Temsilci izninin aksine, uygulama izinleri belirli bir kullanıcının yapabilecekleriyle sınırlanmamıştır.

Uygulama izinlerini sınırlama

Bir uygulamayı genel erişimden daha azla sınırlamanın üç yolu vardır.

  • Microsoft Teams uygulamaları, bir uygulamanın kuruluştaki tüm ekiplere erişmek yerine belirli bir ekise erişmesine olanak tanıyan kaynağa özgü onay (RSC) içerir. RSC, uygulamanızın API uç noktalarını kullanmasına ve belirli kaynakları yönetmesine olanak tanıyan bir Microsoft Teams ve Microsoft Graph API tümleştirmesidir. İzin modeli, Teams ve Sohbet sahiplerinin uygulamanızın Teams ve Sohbet verilerine erişmesi ve bunları değiştirmesi için onay vermesine olanak tanır.

  • Microsoft Exchange yöneticileri, bir PowerShell betiğiyle uygulama erişimini belirli posta kutularıyla sınırlamak için Exchange uygulama ilkeleri oluşturabilir. Belirli bir uygulamayı veya Mail.Read erişimi olan belirli posta kutularıyla Calendar.Read sınırlandırabilir. Örneğin, tek bir posta kutusunu okuyabilen veya kuruluştaki herkesten değil, yalnızca bir posta kutusundan posta gönderebilen bir otomasyon oluşturmanıza olanak tanır.

  • SharePoint'in, SharePoint'e bir uygulamayla erişmeye yönelik ayrıntılı izinlere izin vermek için belirli bir kapsam olarak Seçilen Siteler'i vardır. Diğer izinlerden biri yerine uygulamanızın seçilmesi Sites.Selected , varsayılan olarak uygulamanızın hiçbir SharePoint site koleksiyonuna erişimi olmamasıyla sonuçlanır. Yönetici, uygulamanıza Okuma, Yazma veya Okuma ve Yazma izinleri vermek için site izinleri uç noktasını kullanır.

Uygulama kimlik bilgilerini yönetme

Kimlik bilgisi hijyeni, uygulamanızın olası bir ihlalden hızla kurtulmasını sağlayabilir. Aşağıdaki en iyi yöntemler, kapalı kalma süresini önlerken ve meşru kullanıcıları etkilerken algılama ve düzeltme gerçekleştiren uygulamalar geliştirme konusunda size yol gösterir. Bu öneriler, sizi bir güvenlik olayına yanıt vermeye hazırlarken ihlal varsayma Sıfır Güven ilkesini destekler.

  • Koddan ve yapılandırmadan tüm gizli dizileri kaldırın. Azure platformunu kullanırken Anahtar kasasına gizli diziler yerleştirin ve Azure kaynakları için Yönetilen Kimlikler aracılığıyla bunlara erişin. Bir risk oluşursa kodunuzu gizli dizi döndürmelerini işlemek için dayanıklı hale getirin. BT yöneticileri, uygulamanızı kaldırmadan veya yasal kullanıcıları etkilemeden gizli dizileri ve sertifikaları kaldırabilir ve döndürebilir.

  • Gizli dizileri yönetmek için güvenli bir işlem yapılmadığı sürece istemci gizli dizileri yerine sertifikaları kullanın. Saldırganlar, istemci gizli dizilerinin daha az güvenli bir şekilde işlenme eğiliminde olduğunu ve sızdırılan gizli dizi kullanımını izlemenin zor olduğunu bilir. Sertifikalar daha iyi yönetilebilir ve tehlikeye atılırsa iptal edilebilir. Gizli dizileri kullandığınızda, bunlar için güvenli bir dokunmadan dağıtım ve geçiş işlemi oluşturun veya kullanın. Gizli dizileri belirli bir süre sonu süresiyle (örneğin, bir yıl, iki yıl) kullanın ve hiçbir zaman dolmamasını sağlayın.

  • Uygulamanızda dayanıklılık oluşturmak için sertifikaları ve gizli dizileri düzenli olarak dağıtarak acil durum geçişi nedeniyle kesintiyi önler.

Sonraki adımlar

  • Kaynaklara erişmek için yetkilendirme almak, uygulamanız için kaynak erişim izinleri alırken Sıfır Güven en iyi şekilde nasıl sağlayacağınızı anlamanıza yardımcı olur.
  • Temsilci izin stratejisi geliştirmek, uygulamanızdaki izinleri yönetmek ve Sıfır Güven ilkeleri kullanarak geliştirmek için en iyi yaklaşımı uygulamanıza yardımcı olur.
  • Yetkilendirme en iyi yöntemleri , uygulamalarınız için en iyi yetkilendirme, izin ve onay modellerini uygulamanıza yardımcı olur.
  • Yönetici onayı gerektiren izinler istendiğinde, uygulama izinlerinin yönetici onayı gerektireceği izin ve onay deneyimi açıklanır.
  • API Koruması, api'nizi kayıt, izin ve onay tanımlama ve Sıfır Güven hedeflerinize ulaşmak için erişimi zorlama yoluyla korumaya yönelik en iyi yöntemleri açıklar.
  • Kullanıcı olmadığında uygulama kimliği kimlik bilgilerini sağlamak, Azure'da hizmetler (kullanıcı olmayan uygulamalar) için en iyi Sıfır Güven istemci kimlik bilgileri uygulamasının Azure kaynakları için Yönetilen Kimlikler olduğunu açıklar.