Sécuriser votre application App Service

  • 3 minutes

Azure App Service offre une prise en charge intégrée de l’authentification et de l’autorisation. Vous pouvez connecter des utilisateurs et accéder aux données en écrivant peu ou pas de code dans votre application web, API et back-end mobile, ainsi que vos applications de fonction.

Pour mettre en place un système sécurisé d’authentification et d’autorisation, il faut avoir une connaissance approfondie de la sécurité, notamment de la fédération, du chiffrement, de la gestion des jetons web JSON (JWT), des types d’autorisation, etc. App Service propose ces utilitaires pour vous permettre de consacrer davantage de temps et d’énergie à offrir de la valeur ajoutée à votre client.

Notes

Vous n’êtes pas obligé d’utiliser Azure App Service pour l’authentification et l’autorisation. Plusieurs frameworks web sont fournis avec des fonctionnalités de sécurité, et vous pouvez utiliser le service que vous préférez.

Ce qu’il faut savoir sur la sécurité des applications avec App Service

Voyons de plus près comment App Service vous aide à sécuriser votre application.

  • Le module de sécurité d’authentification et d’autorisation dans Azure App Service s’exécute dans le même environnement que le code de votre application, mais séparément.

  • Le module de sécurité est configuré en utilisant des paramètres d’application. Aucun Kit de développement logiciel (SDK), aucun langage spécifique ni aucune modification du code de l’application ne sont nécessaires.

  • Quand vous activez le module de sécurité, chaque requête HTTP entrante passe par le module avant d’être gérée par le code de votre application.

  • Le module de sécurité gère plusieurs tâches pour votre application :

    • Authentifier les utilisateurs avec le fournisseur spécifié
    • Valider, stocker et actualiser les jetons
    • Gérer la session authentifiée
    • Injecter les informations d’identité dans les en-têtes de demande

Ce qu’il faut savoir quand vous utilisez App Service pour la sécurité des applications

Vous configurez la sécurité de l’authentification et de l’autorisation dans App Service en sélectionnant des fonctionnalités dans le portail Azure. Passez en revue les options suivantes et déterminez le type de sécurité pouvant bénéficier à l’implémentation de vos applications App Service.

  • Autoriser les requêtes anonymes (aucune action) : Confier l’autorisation du trafic non authentifié à votre code d’application. Dans le cas des demandes authentifiées, App Service transmet également les informations d’authentification dans les en-têtes HTTP. Cette fonctionnalité permet de traiter de manière plus souple les demandes anonymes. Avec cette fonctionnalité, vous pouvez présenter plusieurs fournisseurs de connexion à vos utilisateurs.

  • Autoriser uniquement les demandes authentifiées. Rediriger toutes les demandes anonymes vers /.auth/login/<provider> pour le fournisseur choisi. La fonctionnalité équivaut à Se connecter avec le <fournisseur>. Si la demande anonyme provient d’une application mobile native, la réponse retournée est un message HTTP 401 Unauthorized. Avec cette fonctionnalité, vous n’avez pas besoin d’écrire du code d’authentification dans votre application.

    Important

    Cette fonctionnalité limite l’accès de tous les appels à votre application. La restriction de l’accès de tous les appels peut ne pas être souhaitable si votre application nécessite une page d’accueil publique, comme c’est le cas de nombreuses applications monopages.

  • Journalisation et suivi. Consulter les traces d’authentification et d’autorisation directement dans vos fichiers journaux. Si une erreur d’authentification inattendue se produit, vous trouverez facilement tous les détails dans les journaux d’activité existants. Si vous activez le suivi des demandes ayant échoué, vous pouvez voir exactement comment le module de sécurité a participé à l’échec d’une demande. Dans les journaux d’activité de suivi, recherchez les références à un module nommé EasyAuthModule_32/64.