Partilhar via

Considerações sobre gerenciamento de identidade e acesso para o acelerador de zona de aterrissagem do Serviço de Aplicativo

  • Artigo

Este artigo fornece considerações de design e recomendações para gerenciamento de identidade e acesso que você pode aplicar ao usar o acelerador de zona de aterrissagem do Serviço de Aplicativo do Azure. Autenticação e configuração de aplicativos são algumas das considerações abordadas neste artigo.

Saiba mais sobre a área de design de gerenciamento de identidade e acesso .

Considerações de design

Quando você usa o acelerador de zona de aterrissagem para implantar uma solução do Serviço de Aplicativo, há algumas considerações importantes para o gerenciamento de identidade e acesso de chave:

  • Determine o nível de segurança e isolamento necessário para o aplicativo e seus dados. O acesso público permite que qualquer pessoa com o URL do aplicativo acesse o aplicativo, enquanto o acesso privado restringe o acesso apenas a usuários e redes autorizados.
  • Determine o tipo de autenticação e autorização necessárias para sua solução do Serviço de Aplicativo: anônimos, usuários corporativos internos, contas sociais, outro provedor de identidade ou uma combinação desses tipos.
  • Determine se deseja usar identidades gerenciadas atribuídas pelo sistema ou pelo usuário quando sua solução do Serviço de Aplicativo se conectar a recursos de back-end protegidos pela ID do Microsoft Entra.
  • Considere a criação de funções personalizadas, seguindo o princípio de menor privilégio quando funções prontas para uso exigirem modificações nas permissões existentes.
  • Escolha o armazenamento de segurança aprimorada para chaves, segredos, certificados e configuração de aplicativos.
    • Use a configuração do aplicativo para compartilhar valores de configuração comuns que não sejam senhas, segredos ou chaves entre aplicativos, microsserviços e aplicativos sem servidor.
    • Use o Azure Key Vault. Ele fornece armazenamento de segurança aprimorada de senhas, cadeias de conexão, chaves, segredos e certificados. Você pode usar o Cofre da Chave para armazenar seus segredos e, em seguida, acessá-los a partir do seu aplicativo do Serviço de Aplicativo por meio da identidade gerenciada do Serviço de Aplicativo. Ao fazer isso, você pode ajudar a manter seus segredos seguros e, ao mesmo tempo, fornecer acesso a eles a partir do seu aplicativo, conforme necessário.

Recomendações de design

Você deve incorporar as seguintes práticas recomendadas em suas implantações do Serviço de Aplicativo:

  • Se a solução do Serviço de Aplicativo exigir autenticação:
  • Use funções internas do Azure sempre que possível. Essas funções são projetadas para fornecer um conjunto de permissões que são comumente necessárias para cenários específicos, como a função Leitor para usuários que precisam de acesso somente leitura e a função de Colaborador para usuários que precisam ser capazes de criar e gerenciar recursos.
    • Se as funções internas não atenderem às suas necessidades, você poderá criar funções personalizadas combinando as permissões de uma ou mais funções internas. Ao fazer isso, você pode conceder o conjunto exato de permissões de que seus usuários precisam e, ao mesmo tempo, seguir o princípio de menor privilégio.
    • Monitore seus recursos do Serviço de Aplicativo regularmente para garantir que eles estejam sendo usados de acordo com suas políticas de segurança. Isso pode ajudá-lo a identificar qualquer acesso não autorizado ou alterações e tomar as medidas apropriadas.
  • Use o princípio de menor privilégio ao atribuir permissões a usuários, grupos e serviços. Esse princípio afirma que você deve conceder apenas as permissões mínimas necessárias para executar a tarefa específica, e não mais. Seguir estas orientações pode ajudá-lo a reduzir o risco de alterações acidentais ou maliciosas aos seus recursos.
  • Use identidades gerenciadas atribuídas ao sistema para acessar, com segurança aprimorada, recursos de back-end protegidos pelo ID do Microsoft Entra. Isso permite que você controle a quais recursos a solução do Serviço de Aplicativo tem acesso e quais permissões ela tem para esses recursos.
  • Para implantação automatizada, configure uma entidade de serviço que tenha as permissões mínimas necessárias para implantar a partir do pipeline de CI/CD.
  • Habilite os logs de acesso do AppServiceHTTPLogs de log de diagnóstico para o Serviço de Aplicativo. Você pode usar esses logs detalhados para diagnosticar problemas com seu aplicativo e monitorar solicitações de acesso. Habilitar esses logs também fornece um log de atividades do Azure Monitor que fornece informações sobre eventos no nível de assinatura.
  • Siga as recomendações descritas nas seções Gerenciamento de identidade e Acesso privilegiado da linha de base de segurança do Azure para o Serviço de Aplicativo.

O objetivo do gerenciamento de identidade e acesso para o acelerador de zona de pouso é ajudar a garantir que o aplicativo implantado e seus recursos associados sejam seguros e possam ser acessados apenas por usuários autorizados. Isso pode ajudá-lo a proteger dados confidenciais e evitar o uso indevido do aplicativo e seus recursos.