Considerações de segurança para o acelerador de zona de aterrissagem do Gerenciamento de API
Este artigo fornece considerações de design e recomendações de segurança ao usar o acelerador de zona de aterrissagem do Gerenciamento de API. A segurança abrange vários aspetos, incluindo a proteção das APIs de frontend, a proteção de back-ends e a proteção do portal do desenvolvedor.
Saiba mais sobre a área de design de segurança .
Considerações de design
- Considere como você deseja proteger suas APIs de frontend além de usar chaves de assinatura. OAuth 2.0, OpenID Connect e TLS mútuo são opções comuns com suporte integrado.
- Pense em como você deseja proteger seus serviços de back-end por trás do Gerenciamento de API. Certificados de cliente e OAuth 2.0 são duas opções suportadas.
- Considere quais protocolos e cifras de cliente e back-end são necessários para atender aos seus requisitos de segurança.
- Considere as políticas de validação do Gerenciamento de API para validar solicitações e respostas de API REST ou SOAP em esquemas definidos na definição de API ou carregados na instância. Essas políticas não substituem um Web Application Firewall, mas podem fornecer proteção adicional contra algumas ameaças.
Nota
Adicionar políticas de validação pode ter implicações de desempenho, por isso recomendamos testes de carga de desempenho para avaliar seu impacto na taxa de transferência da API.
- Considere quais provedores de identidade, além do Microsoft Entra ID, precisam ser suportados.
Recomendações de design
- Implante um WAF (Web Application Firewall) na frente do Gerenciamento de API para proteger contra explorações e vulnerabilidades comuns de aplicativos Web.
- Use o Azure Key Vault para armazenar e gerenciar segredos com segurança e disponibilizá-los por meio de valores nomeados no Gerenciamento de API.
- Crie uma identidade gerenciada atribuída ao sistema no Gerenciamento de API para estabelecer relações de confiança entre o serviço e outros recursos protegidos pelo ID do Microsoft Entra, incluindo o Cofre de Chaves e serviços de back-end.
- As APIs só devem ser acessíveis por HTTPS para proteger os dados em trânsito e garantir sua integridade.
- Use a versão mais recente do TLS ao criptografar informações em trânsito. Desative protocolos e cifras desatualizados e desnecessários sempre que possível.
Pressupostos à escala empresarial
A seguir estão as suposições que entraram no desenvolvimento do acelerador de zona de aterrissagem do Gerenciamento de API:
- Configuração do Gateway de Aplicativo do Azure como um WAF.
- Proteção da instância de Gerenciamento de API em uma VNet que controla a conectividade interna e externa.