Dela via

Överväganden för identitets- och åtkomsthantering för Acceleratorn för App Service-landningszonen

  • Artikel

Den här artikeln innehåller designöverväganden och rekommendationer för identitets- och åtkomsthantering som du kan använda när du använder Azure App Service-acceleratorn för landningszoner. Autentisering och appkonfiguration är några av de överväganden som beskrivs i den här artikeln.

Läs mer om designområdet för identitets- och åtkomsthantering .

Tips för utformning

När du använder acceleratorn i landningszonen för att distribuera en App Service-lösning finns det några viktiga överväganden för nyckelidentitets- och åtkomsthantering:

  • Fastställa vilken nivå av säkerhet och isolering som krävs för appen och dess data. Offentlig åtkomst gör det möjligt för alla med appens URL att komma åt appen, medan privat åtkomst begränsar åtkomsten till endast auktoriserade användare och nätverk.
  • Fastställ vilken typ av autentisering och auktorisering som krävs för din App Service-lösning: anonym, interna företagsanvändare, sociala konton, annan identitetsprovider eller en kombination av dessa typer.
  • Avgör om du vill använda systemtilldelade eller användartilldelade hanterade identiteter när din App Service-lösning ansluter till serverdelsresurser som skyddas av Microsoft Entra-ID.
  • Överväg att skapa anpassade roller genom att följa principen om minsta behörighet när färdiga roller kräver ändringar i befintliga behörigheter.
  • Välj förbättrad lagring för nycklar, hemligheter, certifikat och programkonfiguration.
    • Använd appkonfiguration för att dela vanliga konfigurationsvärden som inte är lösenord, hemligheter eller nycklar mellan program, mikrotjänster och serverlösa program.
    • Använd Azure Key Vault. Det ger förbättrad säkerhetslagring av lösenord, anslutningssträng, nycklar, hemligheter och certifikat. Du kan använda Key Vault för att lagra dina hemligheter och sedan komma åt dem från ditt App Service-program via en hanterad App Service-identitet. Genom att göra det kan du skydda dina hemligheter samtidigt som du ger åtkomst till dem från ditt program efter behov.

Designrekommendationer

Du bör införliva följande metodtips i dina App Service-distributioner:

  • Om App Service-lösningen kräver autentisering:
    • Om åtkomsten till hela App Service-lösningen behöver begränsas till autentiserade användare inaktiverar du anonym åtkomst.
    • Använd de inbyggda funktionerna för autentisering och auktorisering i App Service i stället för att skriva din egen autentiserings- och auktoriseringskod.
    • Använd separata programregistreringar för separata fack eller miljöer.
    • Om App Service-lösningen endast är avsedd för interna användare använder du klientcertifikatautentisering för ökad säkerhet.
    • Om App Service-lösningen är avsedd för externa användare använder du Azure AD B2C för att autentisera till sociala konton och Microsoft Entra-konton.
  • Använd inbyggda Azure-roller när det är möjligt. De här rollerna är utformade för att ge en uppsättning behörigheter som ofta behövs för specifika scenarier, till exempel rollen Läsare för användare som behöver skrivskyddad åtkomst och deltagarrollen för användare som behöver kunna skapa och hantera resurser.
    • Om inbyggda roller inte uppfyller dina behov kan du skapa anpassade roller genom att kombinera behörigheterna från en eller flera inbyggda roller. På så sätt kan du bevilja den exakta uppsättning behörigheter som användarna behöver samtidigt som de följer principen om lägsta behörighet.
    • Övervaka dina App Service-resurser regelbundet för att säkerställa att de används i enlighet med dina säkerhetsprinciper. Det kan hjälpa dig att identifiera obehörig åtkomst eller ändringar och vidta lämpliga åtgärder.
  • Använd principen om lägsta behörighet när du tilldelar behörigheter till användare, grupper och tjänster. Den här principen anger att du endast ska bevilja de minsta behörigheter som krävs för att utföra den specifika uppgiften, och inte mer. Genom att följa den här vägledningen kan du minska risken för oavsiktliga eller skadliga ändringar av dina resurser.
  • Använd systemtilldelade hanterade identiteter för åtkomst, med förbättrad säkerhet, backend-resurser som skyddas av Microsoft Entra-ID. På så sätt kan du styra vilka resurser Som App Service-lösningen har åtkomst till och vilka behörigheter den har för dessa resurser.
  • För automatisk distribution konfigurerar du ett huvudnamn för tjänsten som har den minsta behörighet som krävs för att distribuera från CI/CD-pipelinen.
  • Aktivera diagnostikloggning AppServiceHTTPLoggar för åtkomstloggar för App Service. Du kan använda dessa detaljerade loggar för att diagnostisera problem med din app och övervaka åtkomstbegäranden. När du aktiverar dessa loggar finns också en Azure Monitor-aktivitetslogg som ger dig insikt i händelser på prenumerationsnivå.
  • Följ rekommendationerna som beskrivs i avsnitten Identitetshantering och Privilegierad åtkomst i Azure-säkerhetsbaslinjen för App Service.

Målet med identitets- och åtkomsthantering för acceleratorn i landningszonen är att säkerställa att den distribuerade appen och dess associerade resurser är säkra och endast kan nås av behöriga användare. Det kan hjälpa dig att skydda känsliga data och förhindra missbruk av appen och dess resurser.