Nolltillit metodtips för utveckling av identitets- och åtkomsthantering

Den här artikeln hjälper dig som utvecklare att förstå metodtips för identitets- och åtkomsthantering för programutvecklingslivscykeln. Du börjar utveckla säkra, Nolltillit kompatibla program med identitets- och åtkomsthantering (IAM).

Det Nolltillit säkerhetsramverket använder principerna för explicit verifiering, minst privilegierad åtkomst och anta intrång. Skydda användare och data samtidigt som du tillåter vanliga scenarier som åtkomst till program utanför nätverksperimetern. Minska beroendet av implicit förtroende för interaktioner bakom en säker nätverksperimeter som kan bli sårbar för säkerhetsattacker.

Branschsäkerhetstrender påverkar programkraven

Även om Nolltillit implementeringen fortsätter att utvecklas är varje organisations resa unik och börjar ofta med användar- och programidentitet. Här följer principer och kontroller som många organisationer prioriterar när de distribueras Nolltillit:

1. Implementera principer för autentiseringshygien och rotation för appar och tjänster. När angripare komprometterar hemligheter som certifikat eller lösenord kan de få en djup systemåtkomst för att hämta token under sken av en apps identitet. De får sedan åtkomst till känsliga data, flyttar i sidled och etablerar beständighet.
2. Distribuera stark autentisering. IT-administratörer konfigurerar principer som kräver multifaktorautentisering och lösenordslösa FIDO2-enheter.
3. Begränsa användarens medgivande till appar med låg riskbehörighet till verifierade utgivarappar. Med åtkomst till data i API:er som Microsoft Graph kan du skapa omfattande program. Organisationer och kunder utvärderar appens behörighetsbegäranden och pålitlighet innan de beviljar medgivande. IT-administratörer använder sig av principen om att verifiera uttryckligen genom att kräva verifiering av utgivare. De tillämpar principen om lägsta behörighet genom att endast tillåta användarmedgivande för behörigheter med låg risk.
4. Blockerar äldre protokoll och API:er. IT-administratörer blockerar äldre autentiseringsprotokoll som "Grundläggande autentisering" och kräver moderna protokoll som OpenID Anslut och OAuth2.

Använda betrodda, standardbaserade autentiseringsbibliotek

Utveckla ditt program med kända och accepterade standarder och bibliotek för att öka programmets portabilitet och säkerhet. Betrodda, standardbaserade autentiseringsbibliotek är uppdaterade så att dina appar svarar mot de senaste teknikerna och hoten. Standardbaserade utvecklingsmetoder ger en översikt över standarder som stöds och deras fördelar.

I stället för att använda protokoll med kända sårbarheter och omfattande dokumentation kan du utveckla ditt program med bibliotek som Microsoft Authentication Library (MSAL), Microsoft Identity Web Authentication Library och Azure Software Developer Kits (SDK). Med MSAL och Software Developer Kits (SDK) kan du använda dessa funktioner utan att behöva skriva extra kod:

• Villkorlig åtkomst
• Enhetsregistrering och hantering
• Lösenordsfri och FIDO2-autentisering

MSAL och Microsoft Graph är de bästa alternativen för att utveckla Microsoft Entra-program. MSAL-utvecklare säkerställer efterlevnad av protokoll. Microsoft optimerar MSAL för effektivitet när du arbetar direkt med Microsoft Entra-ID.

Registrera dina appar i Microsoft Entra-ID

Följ rekommenderade säkerhetsmetoder för programegenskaper i Microsoft Entra-ID. Programregistrering i Microsoft Entra-ID är kritiskt eftersom felkonfiguration eller förfall i programmets hygien kan leda till driftstopp eller intrång.

Programegenskaper som förbättrar säkerheten är omdirigerings-URI, åtkomsttoken (används aldrig med implicita flöden), certifikat och hemligheter, program-ID-URI och programägarskap. Utför regelbundna säkerhets- och hälsoutvärderingar som liknar utvärderingar av säkerhetshotmodeller för kod.

Delegera identitets- och åtkomsthantering

Utveckla ditt program för att använda token för explicit identitetsverifiering och åtkomstkontroll som dina kunder definierar och hanterar. Microsoft avråder från att utveckla egna system för hantering av användarnamn och lösenord.

Håll autentiseringsuppgifterna borta från koden så att IT-administratörer kan rotera autentiseringsuppgifter utan att ta bort eller distribuera om din app. Använd en tjänst som Azure Key Vault eller Azure Managed Identities för att delegera IAM.

Planera och utforma för åtkomst med minst behörighet

En viktig princip för Nolltillit är åtkomst med minst behörighet. Utveckla och dokumentera programmet tillräckligt så att dina kunder kan konfigurera principer med minsta möjliga behörighet. När du stöder token och API:er kan du ge dina kunder bra dokumentation om resurser som programmet anropar.

Ge alltid den lägsta behörighet som krävs för att användaren ska kunna utföra specifika uppgifter. Använd till exempel detaljerade omfång i Microsoft Graph.

Utforska omfång i Graph Explorer för att anropa ett API och undersöka nödvändiga behörigheter. De visas i ordning från lägsta till högsta behörighet. Genom att välja lägsta möjliga behörighet ser du till att ditt program är mindre sårbart för attacker.

Följ vägledningen i Förbättra säkerheten med principen om minsta möjliga behörighet för att minska dina programs attackytor och säkerhetsöverträdelsens sprängningsradie om det skulle äventyras.

Hantera token på ett säkert sätt

När ditt program begär token från Microsoft Entra-ID hanterar du dem på ett säkert sätt:

• Kontrollera att de är korrekt begränsade till ditt program.
• Cachelagrade dem på lämpligt sätt.
• Använd dem som avsett.
• Hantera tokenproblem genom att söka efter felklasser och koda lämpliga svar.
• I stället för att läsa åtkomsttoken direkt kan du visa deras omfång och information i tokensvar.

Stöd för utvärdering av kontinuerlig åtkomst (CAE)

Med kontinuerlig åtkomstutvärdering (CAE) kan Microsoft Graph snabbt neka åtkomst som svar på säkerhetshändelser. Exempel är dessa innehavaradministratörsaktiviteter:

• Ta bort eller inaktivera ett användarkonto.
• Aktivera multifaktorautentisering (MFA) för en användare.
• Återkalla uttryckligen en användares utfärdade token.
• Identifiera en användare som övergår till högriskstatus.

När du har stöd för CAE är token som Microsoft Entra ID-problem med att anropa Microsoft Graph giltiga i 24 timmar i stället för standard 60 till 90 minuter. CAE lägger till återhämtning i din app genom att göra det möjligt för MSAL att proaktivt uppdatera token i god tid innan token upphör att gälla.

Definiera approller för IT som ska tilldelas till användare och grupper

Approller hjälper dig att implementera rollbaserad åtkomstkontroll i dina program. Vanliga exempel på approller är Administratör, Läsare och Deltagare. Med rollbaserad åtkomstkontroll kan ditt program begränsa känsliga åtgärder till användare eller grupper baserat på deras definierade roller.

Bli en verifierad utgivare

Som verifierad utgivare verifierar du din identitet med ditt Microsoft Partner Network-konto och slutfört den etablerade verifieringsprocessen. För utvecklare av appar med flera klienter kan en verifierad utgivare skapa förtroende hos IT-administratörer i kundklientorganisationer.

Nästa steg

• Anpassa token beskriver den information som du kan ta emot i Microsoft Entra-token. Lär dig hur du anpassar token för att förbättra flexibiliteten och kontrollen samtidigt som du ökar programmets Nolltillit säkerhet med minsta möjliga behörighet.
• Konfigurera gruppanspråk och approller i token beskriver hur du konfigurerar dina appar med approlldefinitioner och tilldelar säkerhetsgrupper till approller. Den här metoden förbättrar flexibiliteten och kontrollen samtidigt som programmet Nolltillit säkerhet med minsta möjliga behörighet.
• Att skapa appar med en Nolltillit metod för identitet ger en översikt över behörigheter och metodtips för åtkomst.
• I guiden för identitetsintegrering förklaras hur du integrerar säkerhetslösningar med Microsoft-produkter för att skapa Nolltillit lösningar.
• Utvecklar- och administratörsansvar för programregistrering, auktorisering och åtkomst hjälper dig att samarbeta bättre med dina IT-proffs.
• Identitets- och kontotyper som stöds för appar med en och flera klienter förklarar hur du kan välja om din app endast tillåter användare från din Microsoft Entra-ID)-klientorganisation, alla Microsoft Entra-klientorganisationer eller användare med personliga Microsoft-konton.
• Metodtips för auktorisering hjälper dig att implementera de bästa auktoriserings-, behörighets- och medgivandemodellerna för dina program.
• API Protection beskriver metodtips för att skydda ditt API genom registrering, definiera behörigheter och medgivande samt framtvinga åtkomst för att uppnå dina Nolltillit mål.