Praktik terbaik otorisasi

Saat Anda belajar mengembangkan menggunakan prinsip Zero Trust, artikel ini berlanjut dari Memperoleh otorisasi untuk mengakses sumber daya, Mengembangkan strategi izin yang didelegasikan, dan Mengembangkan strategi izin aplikasi. Ini membantu Anda, sebagai pengembang, untuk menerapkan model otorisasi, izin, dan persetujuan terbaik untuk aplikasi Anda.

Anda dapat menerapkan logika otorisasi dalam aplikasi atau solusi yang memerlukan kontrol akses. Ketika pendekatan otorisasi mengandalkan informasi tentang entitas yang diautentikasi, aplikasi dapat mengevaluasi informasi yang ditukar selama autentikasi (misalnya, informasi yang disediakan dalam token keamanan). Ketika token keamanan tidak berisi informasi, aplikasi dapat melakukan panggilan ke sumber daya eksternal.

Anda tidak perlu menyematkan logika otorisasi sepenuhnya dalam aplikasi Anda. Anda dapat menggunakan layanan otorisasi khusus untuk memusatkan implementasi dan manajemen otorisasi.

Praktik terbaik untuk izin

Aplikasi yang paling banyak diadopsi di ID Microsoft Entra mengikuti praktik terbaik persetujuan dan otorisasi. Tinjau Praktik terbaik untuk bekerja dengan referensi izin Microsoft Graph dan Microsoft Graph untuk mempelajari cara bijaksana dengan permintaan izin Anda.

• Terapkan hak istimewa paling sedikit. Hanya minta izin yang diperlukan. Gunakan persetujuan inkremental untuk meminta izin terperinci tepat pada waktunya. Batasi akses pengguna dengan Just-In-Time dan Just-Enough-Access (JIT/JEA), kebijakan adaptif berbasis risiko, dan perlindungan data.

• Gunakan jenis izin yang benar berdasarkan skenario. Hindari menggunakan izin aplikasi dan yang didelegasikan di aplikasi yang sama. Jika Anda membangun aplikasi interaktif tempat pengguna masuk berada, aplikasi Anda harus menggunakan izin yang didelegasikan. Namun, jika aplikasi Anda berjalan tanpa pengguna yang masuk, seperti layanan latar belakang atau daemon, aplikasi Anda harus menggunakan izin aplikasi.

• Berikan ketentuan layanan dan pernyataan privasi. Pengalaman persetujuan pengguna memunculkan persyaratan layanan dan pernyataan privasi Anda kepada pengguna untuk membantu mereka mengetahui bahwa mereka dapat mempercayai aplikasi Anda. Mereka sangat penting untuk aplikasi multipenyewa yang menghadap pengguna.

Kapan meminta izin

Beberapa izin mengharuskan administrator untuk memberikan persetujuan dalam penyewa. Mereka dapat menggunakan titik akhir persetujuan admin untuk memberikan izin kepada seluruh penyewa. Ada tiga model yang dapat Anda ikuti untuk meminta izin atau cakupan.

• Terapkan persetujuan pengguna dinamis saat masuk atau permintaan token akses pertama. Persetujuan pengguna dinamis tidak memerlukan apa pun dalam pendaftaran aplikasi Anda. Anda dapat menentukan cakupan yang Anda butuhkan dalam kondisi tertentu (misalnya, saat Anda memasukkan pengguna untuk pertama kalinya). Setelah meminta izin tersebut dan menerima persetujuan, Anda tidak perlu meminta izin. Namun, jika Anda tidak menerima persetujuan pengguna dinamis saat masuk atau akses pertama, maka itu melewati pengalaman izin.

• Minta persetujuan pengguna inkremental sesuai kebutuhan. Dengan persetujuan inkremental yang dikombinasikan dengan persetujuan pengguna dinamis, Anda tidak perlu meminta semua izin kapan saja. Anda dapat meminta beberapa izin dan kemudian, saat pengguna berpindah ke fungsionalitas yang berbeda di aplikasi Anda, Anda meminta lebih banyak persetujuan. Pendekatan ini dapat meningkatkan tingkat kenyamanan pengguna karena mereka secara bertahap memberikan izin ke aplikasi Anda. Misalnya, jika aplikasi Anda meminta akses OneDrive, aplikasi mungkin mengakibatkan kecurigaan jika Anda juga meminta akses Kalender. Sebagai gantinya, nanti minta pengguna untuk menambahkan pengingat Kalender terhadap OneDrive mereka.

• /.default Gunakan cakupan. Cakupan /.default secara efektif meniru pengalaman default lama yang melihat apa yang Anda masukkan dalam pendaftaran aplikasi, mencari tahu persetujuan apa yang Anda butuhkan, dan kemudian meminta semua persetujuan yang belum diberikan. Ini tidak mengharuskan Anda untuk menyertakan izin yang Anda butuhkan dalam kode Anda karena berada dalam pendaftaran aplikasi Anda.

Menjadi Penerbit Terverifikasi

Pelanggan Microsoft terkadang menjelaskan kesulitan dalam memutuskan kapan harus mengizinkan aplikasi mengakses platform identitas Microsoft dengan memasukkan pengguna atau memanggil API. Saat mengadopsi prinsip Zero Trust, mereka ingin:

• Peningkatan visibilitas dan kontrol.
• Keputusan reaktif yang lebih proaktif dan lebih mudah.
• Sistem yang menjaga keamanan data dan mengurangi beban keputusan.
• Adopsi aplikasi yang dipercepat untuk pengembang tepercaya.
• Persetujuan terbatas untuk aplikasi dengan izin berisiko rendah yang diverifikasi penerbit.

Meskipun akses ke data di API seperti Microsoft Graph memungkinkan Anda membangun aplikasi yang kaya, organisasi Atau pelanggan Anda mengevaluasi izin yang diminta aplikasi Anda bersama dengan kepercayaan aplikasi Anda.

Menjadi Penerbit Terverifikasi Microsoft membantu Anda memberi pelanggan Pengalaman yang lebih mudah dalam menerima permintaan aplikasi Anda. Ketika aplikasi berasal dari penerbit terverifikasi, pengguna, IT Pro, dan pelanggan tahu bahwa itu berasal dari seseorang dengan siapa Microsoft memiliki hubungan bisnis. Tanda centang biru muncul di samping nama penerbit (komponen #5 dalam contoh permintaan persetujuan izin di bawah ini; lihat tabel komponen di pengalaman persetujuan aplikasi Microsoft Entra). Pengguna dapat memilih penerbit terverifikasi dari permintaan persetujuan untuk melihat informasi selengkapnya.

"Cuplikan layar dialog izin pengalaman yang diminta menunjukkan blok penyusun komponen seperti yang dijelaskan dalam artikel pengalaman persetujuan aplikasi Microsoft Entra yang ditautkan. Ditekankan adalah komponen nomor 5, yang merupakan nama penerbit terverifikasi, dan tanda centang biru yang dapat dipilih pengguna untuk mendapatkan informasi selengkapnya tentang penerbit."

Saat Anda adalah penerbit terverifikasi, pengguna dan profesional TI mendapatkan kepercayaan pada aplikasi Anda karena Anda adalah entitas terverifikasi. Verifikasi penerbit menyediakan branding yang ditingkatkan untuk aplikasi Anda, dan peningkatan transparansi, pengurangan risiko, dan adopsi perusahaan yang lebih lancar untuk pelanggan Anda.

Langkah berikutnya

• Mengembangkan strategi izin yang didelegasikan membantu Anda menerapkan pendekatan terbaik untuk mengelola izin dalam aplikasi Anda dan mengembangkan menggunakan prinsip Zero Trust.
• Mengembangkan strategi izin aplikasi membantu Anda memutuskan pendekatan izin aplikasi Anda untuk manajemen kredensial.
• Gunakan identitas Zero Trust dan praktik terbaik pengembangan manajemen akses dalam siklus hidup pengembangan aplikasi Anda untuk membuat aplikasi yang aman.
• Praktik terbaik keamanan untuk properti aplikasi menjelaskan URI pengalihan, token akses, sertifikat dan rahasia, URI ID aplikasi, dan kepemilikan aplikasi.
• Kustomisasi token menjelaskan informasi yang dapat Anda terima di token Microsoft Entra. Ini menjelaskan cara menyesuaikan token untuk meningkatkan fleksibilitas dan kontrol sambil meningkatkan keamanan kepercayaan nol aplikasi dengan hak istimewa paling sedikit.
• Mengonfigurasi klaim grup dan peran aplikasi dalam token menunjukkan kepada Anda cara mengonfigurasi aplikasi dengan definisi peran aplikasi dan menetapkan grup keamanan ke peran aplikasi. Metode ini membantu meningkatkan fleksibilitas dan kontrol sekaligus meningkatkan keamanan nol kepercayaan aplikasi dengan hak istimewa paling sedikit.
• API Protection menjelaskan praktik terbaik untuk melindungi API Anda melalui pendaftaran, menentukan izin dan persetujuan, dan menegakkan akses untuk mencapai tujuan Zero Trust Anda.
• Memperoleh otorisasi untuk mengakses sumber daya membantu Anda memahami cara terbaik memastikan Zero Trust saat memperoleh izin akses sumber daya untuk aplikasi Anda.