Desenvolver usando os princípios de Confiança Zero

Este artigo ajuda você, como desenvolvedor, a entender os princípios orientadores do Confiança Zero para que você possa melhorar a segurança do seu aplicativo. Você desempenha um papel fundamental na segurança organizacional; Os aplicativos e seus desenvolvedores não podem mais assumir que o perímetro da rede é seguro. Aplicativos comprometidos podem afetar toda a organização.

As organizações estão implantando novos modelos de segurança que se adaptam a ambientes modernos complexos e adotam a força de trabalho móvel. Os novos modelos são projetados para proteger pessoas, dispositivos, aplicativos e dados onde quer que estejam localizados. As organizações estão se esforçando para alcançar a Confiança Zero, uma estratégia e abordagem de segurança para projetar e implementar aplicativos que seguem estes princípios orientadores:

• Verificação explícita
• Usar o acesso com privilégios mínimos
• Pressupor a violação

Em vez de acreditar que tudo protegido por um firewall corporativo é seguro, o modelo de Confiança Zero pressupõe uma violação e verifica cada solicitação como se ela tivesse sido originada de uma rede não controlada. Independentemente do local no qual a solicitação é originada ou qual recurso ela acessa, o modelo de Confiança Zero exige "nunca confiar e sempre verificar".

Entenda que o Confiança Zero não substitui os fundamentos de segurança. Com o trabalho originado de qualquer lugar e em qualquer dispositivo, projete seus aplicativos para incorporar os princípios do Confiança Zero durante todo o ciclo de desenvolvimento.

Por que desenvolver com uma perspectiva Confiança Zero?

• Vimos um aumento no nível de sofisticação dos ataques de segurança cibernética.
• A força de trabalho "trabalhe de qualquer lugar" redefiniu o perímetro de segurança. Os dados estão sendo acessados fora da rede corporativa e compartilhados com colaboradores externos, como parceiros e fornecedores.
• Os aplicativos e os dados corporativos estão mudando de ambientes locais para ambientes híbridos e na nuvem. Os controles de rede tradicionais não podem mais ser usados para segurança. Controles precisam ir para onde os dados estão: em dispositivos e aplicativos.

As diretrizes de desenvolvimento nesta seção ajudam você a aumentar a segurança, reduzir o raio de explosão de um incidente de segurança e se recuperar rapidamente utilizando a tecnologia da Microsoft.

Próximas etapas

Assine nosso RSS feed Desenvolver usando os princípios de Confiança Zero para receber notificações de novos artigos.

Visão geral das diretrizes para desenvolvedores

• O artigo O que significa conformidade com a Confiança Zero? fornece uma visão geral da segurança dos aplicativos sob a perspectiva de um desenvolvedor para abordar os princípios orientadores da Confiança Zero.
• Utilize as práticas recomendadas de desenvolvimento de gerenciamento de identidades e acesso com Confiança Zero no seu ciclo de vida de desenvolvimento de aplicativos para criar aplicativos seguros.
• O artigo Utilizar metodologias de desenvolvimento com base em padrões fornece uma visão geral dos padrões com suporte (OAuth 2.0, OpenID Connect, SAML, Web Services Federation e SCIM) e os benefícios de usá-los com o MSAL e a plataforma de identidade da Microsoft.
• O artigo Responsabilidades de desenvolvedores e administradores para registro, autorização e acesso de aplicativos ajudam você a colaborar melhor com seus profissionais de TI.

Permissões e acesso

• O artigo Criar aplicativos que protegem a identidade por meio de permissões e consentimento fornece uma visão geral das permissões e das práticas recomendadas de acesso.
• O artigo Integrar aplicativos com o Microsoft Entra ID e a plataforma de identidade da Microsoft ajuda os desenvolvedores a criar e integrar aplicativos que os profissionais de TI podem proteger na empresa, integrando aplicativos com segurança com o Microsoft Entra ID e a plataforma de identidade da Microsoft.
• O artigo Registro de aplicativos apresenta aos desenvolvedores o processo de registro de aplicativos e seus requisitos. Isso os ajuda a garantir que os aplicativos satisfaçam os princípios Confiança Zero de uso, acesso menos privilegiado e assumam violação.
• O artigo Tipos de identidade e conta com suporte para aplicativos de locatário único e multilocatário explica como escolher se o aplicativo permite apenas usuários de seu locatário do Microsoft Entra, qualquer locatário do Microsoft Entra ou usuários com contas pessoais da Microsoft.
• O artigo Autenticar usuários para Confiança Zero ajuda os desenvolvedores a aprender as práticas recomendadas para autenticar usuários de aplicativos no desenvolvimento de aplicativos com Confiança Zero. Ele descreve como reforçar a segurança do aplicativo com os princípios de Confiança Zero de privilégio mínimo e verificação explícita.
• O artigo Adquirir autorização para acessar recursos ajuda a entender a melhor maneira de garantir a Confiança Zero ao adquirir permissões de acesso a recursos para um aplicativo.
• O artigo Desenvolver uma estratégia de permissões delegadas ajuda você a implementar a melhor abordagem para gerenciar permissões em um aplicativo e a desenvolver com o uso dos princípios de Confiança Zero.
• O artigo Desenvolver uma estratégia de permissões de aplicativo ajuda você a decidir sobre uma abordagem de permissões de aplicativos para o gerenciamento de credenciais.
• O artigo Solicitar permissões que exigem consentimento administrativo descreve a experiência de permissão e consentimento quando permissões de aplicativo exigem consentimento administrativo.
• O artigo Reduzir permissões e aplicativos com privilégios excessivos ajuda você a entender por que os aplicativos não devem solicitar mais permissões do que precisam (com privilégios excessivos) e como limitar o privilégio para gerenciar o acesso e reforçar a segurança.
• O artigo Fornecer credenciais de identidade de aplicativo quando não há usuário explica por que a melhor prática de credenciais de clientes com Confiança Zero para serviços (aplicativos que não são de usuário) no Azure é usar Identidades Gerenciadas para recursos do Azure.
• O artigo Gerenciar tokens para Confiança Zero ajuda os desenvolvedores a criar segurança em aplicativos com tokens de ID, tokens de acesso e tokens de segurança que eles podem receber da plataforma de identidade da Microsoft.
• O artigo Personalizar tokens descreve as informações que você pode receber em tokens do Microsoft Entra e como personalizar esses tokens.
• O artigo Proteger aplicativos com a Avaliação contínua de acesso ajuda os desenvolvedores a melhorar a segurança de aplicativos com a Avaliação contínua de acesso. Saiba como garantir o suporte para Confiança Zero no seus aplicativos que recebem autorização para acessar recursos quando adquirem tokens de acesso do Microsoft Entra ID.
• O artigo Configurar declarações de grupo e funções de aplicativo em tokens mostra como configurar seus aplicativos com definições de função de aplicativo e atribuir grupos de segurança.
• O artigo Proteção de APIs descreve as práticas recomendadas para proteger sua API por meio de registro, definição de permissões e consentimento e imposição de acesso para atingir as metas de Confiança Zero.
• O artigo Exemplo de API protegida pela estrutura de consentimento de identidade da Microsoft ajuda você a projetar estratégias de permissões de aplicativos com privilégios mínimos para oferecer a melhor experiência do usuário.
• O artigo Chamar uma API de outra API ajuda você a garantir a Confiança Zero quando existe uma API que precisa chamar outra API. Você aprenderá a desenvolver seu aplicativo com segurança quando ele estiver trabalhando em nome de um usuário.
• O artigo Práticas recomendadas de autorização ajuda você a implementar os melhores modelos de autorização, permissão e consentimento para aplicativos.

Confiança zero DevSecOps

• O artigo Proteger ambientes DevOps para Confiança Zero descreve as práticas recomendadas para proteger seus ambientes de DevOps com uma abordagem Confiança Zeropara evitar que hackers comprometam caixas de desenvolvedores, infectem pipelines de lançamento com scripts maliciosos e obtenham acesso a dados de produção por meio de ambientes de teste.
• O artigo Proteger o ambiente da plataforma de DevOps ajuda você a implementar os princípios da Confiança Zero no seu ambiente de plataforma de DevOps e destaca as melhores práticas para gerenciamento de segredos e certificados.
• O artigo Proteger o ambiente do desenvolvedor ajuda você a implementar os princípios da Confiança Zero em ambientes de desenvolvimento com as melhores práticas para privilégios mínimos, segurança de brances e ferramentas, extensões e integrações confiáveis.
• O artigo Incorporar a segurança da Confiança Zero ao seu fluxo de trabalho de desenvolvedor ajuda você a inovar com rapidez e segurança.

Documentação adicional de Confiança Zero

Use um conteúdo adicional de Confiança Zero com base em um conjunto de documentações ou funções na sua organização.

Conjunto de documentações

Siga esta tabela para saber quais são os melhores conjuntos de documentações de Confiança Zero para suas necessidades.

Conjunto de documentações	Ajuda você...	Funções
Estrutura de adoção para diretrizes de fase e etapas para as principais soluções e resultados de negócios	Aplicar proteções de Confiança Zero do pacote C à implantação de TI.	Arquitetos de segurança, equipes de TI e gerentes de projeto
Conceitos e objetivos de implantação para diretrizes gerais de implantação para áreas de tecnologia	Aplicar proteções de Confiança Zero alinhadas com áreas de tecnologia.	Equipes de TI e equipe de segurança
Confiança Zero para pequenas empresas	Aplicar princípios de Confiança Zero a clientes de pequenas empresas.	Clientes e parceiros que trabalham com o Microsoft 365 para empresas
Plano de modernização rápida de Confiança Zero (RaMP) para diretrizes de gerenciamento de projetos e listas de verificação para facilitar o processo	Implementar rapidamente as principais camadas de proteção de Confiança Zero.	Arquitetos de segurança e implementadores de TI
Plano de implantação de Confiança Zero com o Microsoft 365 para diretrizes detalhadas de design e implantação	Aplicar proteções de Confiança Zero ao seu locatário do Microsoft 365.	Equipes de TI e pessoal de segurança
Confiança Zero para Microsoft Copilots para diretrizes detalhadas de design e implantação	Aplique proteções de Confiança Zero aos Microsoft Copilots.	Equipes de TI e equipe de segurança
Confiança Zero para os serviços do Azure para diretrizes detalhadas sobre design e implantação	Aplique proteções de Confiança Zero a cargas de trabalho e serviços do Azure.	Equipes de TI e equipe de segurança
Integração de parceiros com a Confiança Zero para diretrizes de design para áreas de tecnologia e especializações	Aplicar proteções de Confiança Zero a soluções de nuvem da Microsoft.	Desenvolvedores parceiros, equipes de TI e equipe de segurança

Sua função

Siga esta tabela para obter os melhores conjuntos de documentação para sua função em sua organização.

Função	Conjunto de documentações	Ajuda você...
Arquiteto de segurança Gerente de projetos de TI Implementador de TI	Estrutura de adoção para diretrizes de fase e etapas para as principais soluções e resultados de negócios	Aplicar proteções de Confiança Zero do pacote C à implantação de TI.
Membro de uma equipe de TI ou segurança	Conceitos e objetivos de implantação para diretrizes gerais de implantação para áreas de tecnologia	Aplicar proteções de Confiança Zero alinhadas com áreas de tecnologia.
Cliente ou parceiro do Microsoft 365 para empresas	Confiança Zero para pequenas empresas	Aplicar princípios de Confiança Zero a clientes de pequenas empresas.
Arquiteto de segurança Implementador de TI	Plano de modernização rápida de Confiança Zero (RaMP) para diretrizes de gerenciamento de projetos e listas de verificação para facilitar o processo	Implementar rapidamente as principais camadas de proteção de Confiança Zero.
Membro de uma equipe de TI ou de segurança do Microsoft 365	Plano de implantação de Confiança Zero com o Microsoft 365 para diretrizes detalhadas de design e implantação para o Microsoft 365	Aplicar proteções de Confiança Zero ao seu locatário do Microsoft 365.
Membro de uma equipe de TI ou segurança do Microsoft Copilot	Confiança Zero para Microsoft Copilots para diretrizes detalhadas de design e implantação	Aplique proteções de Confiança Zero aos Microsoft Copilots.
Membro de uma equipe de TI ou de segurança para serviços do Azure	Confiança Zero para serviços do Azure para diretrizes passo a passo detalhadas de design e implantação	Aplicar proteções de Confiança Zero às cargas de trabalho e serviços do Azure.
Desenvolvedor parceiro ou membro de uma equipe de TI ou segurança	Integração de parceiros com a Confiança Zero para diretrizes de design para áreas de tecnologia e especializações	Aplicar proteções de Confiança Zero a soluções de nuvem da Microsoft.