Condividi tramite

Specificare le credenziali di identità dell'applicazione quando non è presente alcun utente

  • Articolo

Quando uno sviluppatore crea applicazioni non utente, non si ha un utente che può richiedere un nome utente e una password o multifactor authentication (MFA). È necessario fornire l'identità dell'applicazione autonomamente. Questo articolo spiega perché la procedura migliore per le credenziali client Zero Trust per i servizi (applicazioni non utente) in Azure è Identità gestite per le risorse di Azure.

Problemi con gli account del servizio

L'uso di un "account del servizio" (creazione di un account utente e uso per un servizio) non è una soluzione ottimale. Microsoft Entra ID non ha un concetto di account del servizio. Quando gli amministratori creano account utente per un servizio e quindi condividono le password con gli sviluppatori, non è sicuro. Non può essere senza password o avere un'autenticazione a più fattori. Invece di usare un account utente come account del servizio, la soluzione migliore consiste nell'usare una delle opzioni di credenziali client seguenti.

Opzioni delle credenziali client

Esistono quattro tipi di credenziali client che possono identificare un'applicazione.

Chiave privata o certificato?

Le chiavi segrete sono accettabili quando si dispone di un'infrastruttura sofisticata di gestione dei segreti (ad esempio Azure Key Vault) nell'organizzazione. Tuttavia, le chiavi segrete negli scenari in cui il professionista IT genera una chiave privata e quindi lo invia tramite posta elettronica a uno sviluppatore che potrebbe quindi archiviarlo in una posizione non sicura come un foglio di calcolo fa sì che le chiavi segrete non siano protette correttamente.

Le credenziali client basate su certificati sono più sicure rispetto alle chiavi segrete. I certificati sono gestiti meglio perché non sono il segreto stesso. Il segreto non fa parte di una trasmissione. Quando si usa una chiave privata, il client invia il valore effettivo della chiave privata all'ID Microsoft Entra. Quando si usa un certificato, la chiave privata del certificato non lascia mai il dispositivo. Anche se qualcuno intercetta, decodifica e decrittografa la trasmissione, il segreto è ancora sicuro perché la parte di intercettazione non ha la chiave privata.

Procedura consigliata: usare identità gestite per le risorse di Azure

Quando si sviluppano servizi (applicazioni non utente) in Azure, le identità gestite per le risorse di Azure forniscono un'identità gestita automaticamente in Microsoft Entra ID. L'app può eseguire l'autenticazione a qualsiasi servizio che supporti l'autenticazione di Microsoft Entra senza gestire le credenziali. Non è necessario gestire i segreti; non è necessario affrontare la possibilità di perderli o di gestirli in modo improprio. I segreti non possono essere intercettati perché non si spostano in rete. Le identità gestite per le risorse di Azure sono la procedura consigliata se si creano servizi in Azure.

Passaggi successivi