Compartilhar via

Considerações sobre gerenciamento de identidade e acesso para o acelerador de zona de aterrissagem do Serviço de Aplicativo

  • Artigo

Este artigo fornece considerações de design e recomendações para gerenciamento de identidade e acesso que você pode aplicar ao usar o acelerador de zona de aterrissagem do Serviço de Aplicativo do Azure. Autenticação e configuração do aplicativo são algumas das considerações que este artigo aborda.

Saiba mais sobre a área de design de gerenciamento de identidades e acesso.

Considerações sobre o design

Quando você usa o acelerador de zona de aterrissagem para implantar uma solução do Serviço de Aplicativo, há algumas considerações importantes para o gerenciamento de identidade e acesso de chaves:

  • Determine o nível de segurança e isolamento necessários para o aplicativo e seus dados. O acesso público permite que qualquer pessoa com a URL do aplicativo acesse o aplicativo, enquanto o acesso privado restringe o acesso apenas a usuários e redes autorizados.
  • Determine o tipo de autenticação e autorização necessários para sua solução do Serviço de Aplicativo: anônimos, usuários corporativos internos, contas sociais, outro provedor de identidade ou uma combinação desses tipos.
  • Determine se deseja usar identidades gerenciadas atribuídas pelo sistema ou pelo usuário quando sua solução do Serviço de Aplicativo se conectar a recursos de back-end protegidos pela ID do Microsoft Entra.
  • Considere a criação de funções personalizadas, seguindo o princípio de privilégio mínimo quando funções prontas para uso exigirem modificações nas permissões existentes.
  • Escolha o armazenamento de segurança aprimorada para chaves, segredos, certificados e configuração de aplicativos.
    • Use a configuração do aplicativo para compartilhar valores de configuração comuns que não sejam senhas, segredos ou chaves entre aplicativos, microsserviços e aplicativos sem servidor.
    • Use o Cofre de Chaves do Azure. Ele fornece armazenamento de segurança aprimorada de senhas, cadeias de conexão, chaves, segredos e certificados. Você pode usar o Cofre de Chaves para armazenar seus segredos e, em seguida, acessá-los de seu aplicativo do Serviço de Aplicativo por meio da identidade gerenciada do Serviço de Aplicativo. Ao fazer isso, você pode ajudar a manter seus segredos seguros enquanto ainda fornece acesso a eles a partir de seu aplicativo, conforme necessário.

Recomendações sobre design

Você deve incorporar as seguintes práticas recomendadas em suas implantações do Serviço de Aplicativo:

  • Se a solução do Serviço de Aplicativo exigir autenticação:
  • Use funções internas do Azure sempre que possível. Essas funções são projetadas para fornecer um conjunto de permissões que são comumente necessárias para cenários específicos, como a função Leitor para usuários que precisam de acesso somente leitura e a função Colaborador para usuários que precisam ser capazes de criar e gerenciar recursos.
    • Se as funções internas não atenderem às suas necessidades, você poderá criar funções personalizadas combinando as permissões de uma ou mais funções internas. Ao fazer isso, você pode conceder o conjunto exato de permissões de que seus usuários precisam enquanto ainda segue o princípio de privilégio mínimo.
    • Monitore seus recursos do Serviço de Aplicativo regularmente para garantir que eles estejam sendo usados de acordo com suas políticas de segurança. Isso pode ajudá-lo a identificar qualquer acesso não autorizado ou alterações e tomar as ações apropriadas.
  • Use o princípio de privilégio mínimo ao atribuir permissões a usuários, grupos e serviços. Esse princípio afirma que você deve conceder apenas as permissões mínimas necessárias para executar a tarefa específica e não mais. Seguir esta orientação pode ajudá-lo a reduzir o risco de alterações acidentais ou maliciosas em seus recursos.
  • Use identidades gerenciadas atribuídas pelo sistema para acessar, com segurança aprimorada, recursos de back-end protegidos pelo Microsoft Entra ID. Isso permite que você controle a quais recursos a solução do Serviço de Aplicativo tem acesso e quais permissões ela tem para esses recursos.
  • Para implantação automatizada, configure uma entidade de serviço que tenha as permissões mínimas necessárias para implantar a partir do pipeline de CI/CD.
  • Habilite o log de diagnóstico AppServiceHTTPLogs logs de acesso para o Serviço de Aplicativo. Você pode usar esses logs detalhados para diagnosticar problemas com seu aplicativo e monitorar solicitações de acesso. A habilitação desses logs também fornece um log de atividades do Monitor do Azure que fornece informações sobre eventos no nível da assinatura.
  • Siga as recomendações descritas nas seções Gerenciamento de identidades e Acesso privilegiado da linha de base de segurança do Azure para o Serviço de Aplicativo.

O objetivo do gerenciamento de identidade e acesso para o acelerador de zona de aterrissagem é ajudar a garantir que o aplicativo implantado e seus recursos associados sejam seguros e possam ser acessados apenas por usuários autorizados. Isso pode ajudá-lo a proteger dados confidenciais e evitar o uso indevido do aplicativo e de seus recursos.