Tworzenie aplikacji, które zabezpieczają tożsamość za pomocą uprawnień i zgody

Ten artykuł stanowi kontynuację artykułu Zero Trust identity and access management development best practices (Najlepsze praktyki w zakresie rozwoju zarządzania tożsamością i dostępem Zero Trust), aby ułatwić korzystanie z podejścia Zero Trust do tożsamości w cyklu życia tworzenia oprogramowania (SDLC).

Poniżej przedstawiono omówienie artykułów Dotyczących uprawnień i dostępu w tym przewodniku dla deweloperów , dzięki czemu można zapoznać się ze składnikami tożsamości, które obejmują uwierzytelnianie, autoryzację i zarządzanie tożsamościami.

• Integrowanie aplikacji z identyfikatorem Entra firmy Microsoft i platformą tożsamości firmy Microsoft ułatwia deweloperom tworzenie i integrowanie aplikacji, które specjalista IT może zabezpieczyć w przedsiębiorstwie.
• Rejestrowanie aplikacji wprowadza deweloperów do procesu rejestracji aplikacji i jej wymagań. Pomaga im to zapewnić, że aplikacje spełniają zasady zerowego zaufania, stosując podejście najmniej uprzywilejowanego dostępu i zakładając, że do naruszeń bezpieczeństwa może dojść.
• Obsługiwane typy tożsamości i kont dla aplikacji z jedną i wieloma dzierżawami wyjaśnia, jak można wybrać, czy aplikacja zezwala tylko użytkownikom z dzierżawy Microsoft Entra, dowolnej dzierżawy Microsoft Entra, lub użytkownikom z osobistymi kontami Microsoft.
• Uwierzytelnianie użytkowników w usłudze Zero Trust pomaga deweloperom poznać najlepsze rozwiązania dotyczące uwierzytelniania użytkowników aplikacji w tworzeniu aplikacji Zero Trust. Zawiera opis, jak zwiększyć bezpieczeństwo aplikacji poprzez zasady zerowego zaufania: minimalnych uprawnień i jawnej weryfikacji.
• Uzyskiwanie autoryzacji dostępu do zasobów pomaga zrozumieć, jak najlepiej zapewnić zero trust podczas uzyskiwania uprawnień dostępu do zasobów dla aplikacji.
• Opracowanie strategii uprawnień delegowanych ułatwia zaimplementowanie najlepszego podejścia do zarządzania uprawnieniami w aplikacji i opracowywania przy użyciu zasad zero trust.
• Opracowywanie strategii uprawnień aplikacji ułatwia podjęcie decyzji o podejściu do uprawnień aplikacji przy zarządzaniu poświadczeniami.
• Żądanie uprawnień wymagających zgody administracyjnej opisuje środowisko uprawnień i zgody, gdy uprawnienia aplikacji wymagają zgody administracyjnej.
• Zmniejszenie uprawnień i aplikacji z nadmiernymi uprawnieniami pomaga zrozumieć, dlaczego aplikacje nie powinny żądać większej liczby uprawnień niż są one potrzebne (nadmiernie ograniczone). Dowiedz się, jak ograniczyć uprawnienia do zarządzania dostępem i poprawy zabezpieczeń.
• Podaj poświadczenia tożsamości aplikacji, gdy nie ma użytkownika wyjaśnia zarządzane tożsamości dla zasobów platformy Azure jako dobre praktyki dla usług (aplikacji bez użytkowników).
• Zarządzanie tokenami dla rozwiązania Zero Trust ułatwia deweloperom tworzenie zabezpieczeń w aplikacjach przy użyciu tokenów identyfikatorów, tokenów dostępu i tokenów zabezpieczających, które mogą odbierać z platformy tożsamości firmy Microsoft.
• Dostosowywanie tokenów opisuje informacje, które można otrzymywać w tokenach firmy Microsoft Entra i jak można dostosować tokeny.
• Zabezpieczanie aplikacji za pomocą oceny ciągłego dostępu pomaga deweloperom w ulepszaniu zabezpieczeń aplikacji dzięki ciągłej ocenie dostępu. Dowiedz się, jak zapewnić obsługę usługi Zero Trust w aplikacjach, które otrzymują autoryzację dostępu do zasobów podczas uzyskiwania tokenów dostępu z identyfikatora Entra firmy Microsoft.
• Konfigurowanie oświadczeń grup i ról aplikacji w tokenach pokazuje, jak skonfigurować aplikacje przy użyciu definicji ról aplikacji i przypisać grupy zabezpieczeń.
• Usługa API Protection opisuje najlepsze rozwiązania dotyczące ochrony interfejsu API za pośrednictwem rejestracji, definiowania uprawnień i zgody oraz wymuszania dostępu w celu osiągnięcia celów zero trust.
• Przykład interfejsu API chronionego przez ramy zgody na tożsamość firmy Microsoft pomaga w projektowaniu strategii uprawnień aplikacji minimalnych, co zapewnia najlepsze doświadczenie użytkownika.
• Wywołanie interfejsu API z innego interfejsu API pomaga zapewnić zero trust, gdy masz jeden interfejs API, który musi wywoływać inny interfejs API. Dowiedz się, jak bezpiecznie opracowywać aplikację podczas jej pracy w imieniu użytkownika.
• Najlepsze rozwiązania dotyczące autoryzacji pomagają zaimplementować najlepsze modele autoryzacji, uprawnień i zgody dla aplikacji.

Następne kroki

• Opracowywanie przy użyciu zasad zero trust ułatwia zrozumienie wytycznych dotyczących modelu Zero Trust, dzięki czemu można zwiększyć bezpieczeństwo aplikacji.
• Co oznacza zgodność z zerowym zaufaniem? Zawiera omówienie zabezpieczeń aplikacji z perspektywy dewelopera w celu rozwiązania wytycznych dotyczących zerowego zaufania.
• Użyj najlepszych praktyk zarządzania tożsamością i dostępem Zero Trust w cyklu rozwoju aplikacji, aby projektować bezpieczne aplikacje.
• Metodologie opracowywania oparte na standardach to omówienie obsługiwanych standardów i ich korzyści.
• Obowiązki deweloperów i administratorów dotyczące rejestracji aplikacji, autoryzacji i dostępu ułatwiają współpracę z informatykami.
• Twórz aplikacje zgodne z Zero Trust za pomocą funkcji i narzędzi platformy tożsamości firmy Microsoft, które mapują funkcje platformy tożsamości firmy Microsoft na zasady Zero Trust.
• W przewodniku Integracja tożsamości wyjaśniono, jak zintegrować rozwiązania zabezpieczeń z produktami firmy Microsoft w celu utworzenia rozwiązań Zero Trust.