paylaşılan erişim imzaları ile erişim denetimi Service Bus

Bu makalede, paylaşılan erişim imzaları (SAS), nasıl çalıştıkları ve bunların platformdan bağımsız bir şekilde nasıl kullanılacağı açıklanmaktadır.

SAS koruyucuları, yetkilendirme kurallarına göre Service Bus erişimi sağlar. Bunlar, bir ad alanında ya da bir mesajlaşma varlığında (kuyruk veya konu başlığında) yapılandırılır. Yetkilendirme kuralı bir ada sahiptir, belirli haklara göre ilişkilendirilir ve bir çift şifreleme anahtarı taşır. bir SAS belirteci oluşturmak için Service Bus SDK aracılığıyla veya kendi kodunuzda kural adını ve anahtarını kullanın. istemci daha sonra istenen işlem için kanıtlamak üzere Service Bus belirtecini geçirebilir.

SAS 'ye Genel Bakış

Paylaşılan erişim Imzaları, basit belirteçler kullanan talep tabanlı bir yetkilendirme mekanizmasıdır. SAS kullanarak, anahtarlar hiçbir şekilde hatta hiçbir şekilde geçirilmez. Anahtarlar, daha sonra hizmet tarafından doğrulanabileolabilecek bilgileri şifreli olarak imzalamak için kullanılır. SAS, istemcinin bir yetkilendirme kuralı adının ve eşleşen bir anahtarın hemen elinde bulunduğu bir Kullanıcı adı ve parola şemasına benzer şekilde kullanılabilir. SAS, bir güvenlik belirteci hizmetinden herhangi bir zamana sınırlı ve imzalı erişim belirtecini, bu da oturum açmadan bir yerde değil, bir Federasyon güvenlik modeline benzer şekilde de kullanılabilir.

Service Bus içinde SAS kimlik doğrulaması, ilişkili erişim haklarına sahip adlandırılmış paylaşılan erişim yetkilendirme ilkeleriyle ve bir çift birincil ve ikincil şifreleme anahtarı ile yapılandırılır. Anahtarlar, Base64 gösteriminde 256 bitlik değerlerdir. Service Bus sıralarında ve konularda, ad alanı düzeyinde kurallar yapılandırabilirsiniz.

Paylaşılan erişim Imza belirteci, seçilen yetkilendirme ilkesinin adını, erişilecek kaynağın URI 'sini, bir süre sonu anında ve bir HMAC-SHA256 şifreleme imzasını, seçilen yetkilendirme kuralının birincil veya ikincil şifreleme anahtarı kullanılarak bu alanlar üzerinden hesaplanan bir HMAC-şifreleme imzası içerir.

Paylaşılan erişim yetkilendirme Ilkeleri

her bir Service Bus ad alanı ve her Service Bus varlığı, kurallarından oluşan bir paylaşılan erişim yetkilendirme ilkesine sahiptir. Ad alanı düzeyindeki ilke, bireysel ilke yapılandırmasından bağımsız olarak ad alanındaki tüm varlıklar için geçerlidir.

Her yetkilendirme ilkesi kuralı için üç bilgi parçasına karar verirsiniz: ad, kapsam ve haklar. Ad yalnızca bu şekilde yapılır; Bu kapsam içindeki benzersiz bir ad. Kapsam yeterince kolay: Bu, söz konusu kaynağın URI 'sidir. Service Bus ad alanı için kapsam, gibi tam ad alanıdır https://<yournamespace>.servicebus.windows.net/ .

İlke kuralına göre Rights basıp basmadığını değerlendirerek, şunların bir birleşimi olabilir:

• Varlığa ileti gönderme hakkını ' Gönder '-Yapılandırmacılar
• ' Dinle '-(kuyruk, abonelikler) ve tüm ilgili ileti işleme hakkını al
• ' Yönet '-varlık oluşturma ve silme dahil olmak üzere ad alanının topolojisini yönetme hakkını yapılandırın

' Yönet ' hakkı ' Send ' ve ' Receive ' haklarını içerir.

Bir ad alanı veya varlık ilkesi, her biri temel hakları ve gönderme ve dinleme birleşimini kapsayan, en fazla 12 paylaşılan erişim yetkilendirme kuralını tutabilir, üç kural kümesine yer sağlar Bu sınır, SAS ilke deposunun bir kullanıcı veya hizmet hesabı deposu olması amaçlanmayan alt çizgileri çizer. uygulamanızın kullanıcı veya hizmet kimliklerine göre Service Bus erişim vermesi gerekiyorsa, bir kimlik doğrulama ve erişim denetiminden sonra SAS belirteçleri veren bir güvenlik belirteci hizmeti uygulamalıdır.

Bir yetkilendirme kuralına birincil anahtar ve İkincil anahtar atanır. Bunlar şifreli olarak güçlü anahtarlardır. Onları kaybetmeyin veya sızmayın; Azure Portalher zaman kullanılabilir. Oluşturulan anahtarlardan birini kullanabilir ve istediğiniz zaman yeniden oluşturabilirsiniz. İlkede bir anahtarı yeniden oluşturursanız veya değiştirirseniz, o anahtara göre daha önce verilen tüm belirteçler anında geçersiz olur. Ancak, bu tür belirteçlere göre oluşturulan devam eden bağlantılar, belirtecin süresi dolana kadar çalışmaya devam edecektir.

bir Service Bus ad alanı oluşturduğunuzda, ad alanı için RootManageSharedAccessKey adlı bir ilke kuralı otomatik olarak oluşturulur. Bu ilke, tüm ad alanı için yönetme izinlerine sahiptir. Bu kuralı bir yönetim kök hesabı gibi işlemeniz önerilir ve uygulamanızda kullanmayın. Portalda ad alanı için yapılandırma sekmesinde PowerShell veya Azure CLI aracılığıyla ek ilke kuralları oluşturabilirsiniz.

SAS kullanırken en iyi uygulamalar

Uygulamalarınızda paylaşılan erişim imzaları kullandığınızda, iki olası riski bilmeniz gerekir:

• SAS sızsa, onu alan herkes tarafından kullanılabilir ve bu da Service Bus kaynaklarınızın güvenliğini sağlayabilir.
• Bir istemci uygulaması için belirtilen bir SAS dolarsa ve uygulama hizmetinizden yeni bir SAS alamadıysa, uygulamanın işlevselliği ipuçda olabilir.

Paylaşılan erişim imzalarını kullanmaya yönelik aşağıdaki öneriler, bu riskleri azaltmaya yardımcı olabilir:

• Gerektiğinde ISTEMCILERIN SAS 'yi otomatik olarak yenilemesini sağlama: SAS sağlayan hizmet kullanılamıyorsa, yeniden denemeler için zaman aşımına izin vermek üzere istemcilerin sa 'yı sona ermeden önce yenilemesi gerekir. SAS 'nizin, sona erme döneminde tamamlanması beklenen kısa süreli, kısa süreli işlemler için kullanılması gerekiyorsa, SAS 'nin yenilenmesi beklenmediğinden bu işlem gereksiz olabilir. Ancak, SAS üzerinden düzenli olarak istek yapan istemciniz varsa, süre sonu olma olasılığı oynatma olur. Temel olarak, istemcinin yenilemeyi yeterince erken istediğini güvence altına almak için (daha önce belirtildiği gibi), istemcinin yenileme gereksinimini yeterince erken (daha önce belirtildiği gibi) dengelenmesi gerekir (başarılı bir yenilemeden önce SAS süresi dolduğunda kesintiye uğramamak için).
• SAS başlangıç zamanına dikkat edın: SAS için başlangıç saatini Şimdi olarak ayarlarsanız, saat farkı (farklı makinelere göre geçerli zaman farkları) nedeniyle, hatalardan bazıları ilk birkaç dakika boyunca zaman zaman gözlemlenebilir. Genel olarak, başlangıç saatini geçmişte en az 15 dakika olacak şekilde ayarlayın. Ya da, hiç ayarlama yapmayın, bu, tüm durumlarda hemen geçerli hale gelir. Aynı genellikle süre sonu zamanı için de geçerlidir. Her türlü isteğe bağlı olarak 15 dakikalık saatin ölçeğini çarpıtmanız gerektiğini unutmayın.
• Erişilecek kaynağa özel olun: en iyi güvenlik uygulaması, kullanıcıya gereken en düşük ayrıcalıkları sağlamaktır. Bir kullanıcının yalnızca tek bir varlığa okuma erişimi olması gerekiyorsa, tüm varlıklara okuma/yazma/silme erişimi değil, onlara bu tek varlığa yönelik okuma erişimi izni verin. Bu, SAS 'nin bir saldırgan içinde daha az gücü olduğundan, SAS tehlikeye atılırsa hasar azaltır.
• Her zaman SAS kullanma: bazen Event Hubs karşı belirli bir işlemle ilişkili RISKLER, SAS avantajlarından yararlanır. Bu gibi işlemler için, iş kuralı doğrulama, kimlik doğrulama ve denetim sonrasında Event Hubs yazan bir orta katman hizmeti oluşturun.
• Her zaman https kullan: SAS oluşturmak veya dağıtmak için her zaman https kullanın. Bir SAS HTTP üzerinden geçirilirse ve bu bağlantıyı ele alırsanız bir saldırgan, SAS 'yi okuyabilir ve bunu amaçlanan kullanıcının sahip olduğu gibi kullanabilir, önemli verilerin güvenliğini sağlayabilir veya kötü amaçlı kullanıcı tarafından verilerin bozulmasına izin verebilir.

Paylaşılan erişim Imzası kimlik doğrulaması yapılandırması

Service Bus ad alanları, kuyruklar veya konularda paylaşılan erişim yetkilendirme ilkesini yapılandırabilirsiniz. Service Bus abonelikte yapılandırma şu anda desteklenmiyor, ancak aboneliklere erişimi güvenli hale getirmek için bir ad alanı veya konu üzerinde yapılandırılan kuralları kullanabilirsiniz.

Bu şekilde, her ikisi de S1 ve konu başlığı için aşağıdaki sıraya yönelik olarak, Listenruleq ve Sendruleq Only, S1 ve sendrulet yalnızca T1 konusunda geçerlidir.

Paylaşılan erişim Imza belirteci oluştur

Bir yetkilendirme kuralı adı adına erişimi olan tüm istemciler ve imzalama anahtarlarından biri bir SAS belirteci oluşturabilir. Belirteç, aşağıdaki biçimde bir dize oluşturarak oluşturulur:

SharedAccessSignature sig=<signature-string>&se=<expiry>&skn=<keyName>&sr=<URL-encoded-resourceURI>

• se -Token süre sonu anında. 00:00:00 UTCbelirtecin süresi sona erdiğinde, 1 ocak 1970 (UNIX dönemi) üzerinden dönem bu yana bir saniye yansıtarak tamsayı.

• skn -Yetkilendirme kuralının adı.

• sr -Erişilecek kaynağın URL kodlamalı URI 'SI.

• sig -URL-kodlanmış HMACSHA256 imzası. Karma hesaplama aşağıdaki sözde koda benzer ve ham ikili çıkışın Base64 değerini döndürür.

  urlencode(base64(hmacsha256(urlencode('https://<yournamespace>.servicebus.windows.net/') + "\n" + '<expiry instant>', '<signing key>')))
  

Belirteç, karma değeri aynı parametrelerle yeniden hesaplanabilmesi, böylece veren 'in geçerli bir imzalama anahtarına sahip olduğu doğrulanıyor.

kaynak urı 'si, erişimin talep aldığı Service Bus kaynağın tam urı 'sidir. Örneğin, veya,,, http://<namespace>.servicebus.windows.net/<entityPath> sb://<namespace>.servicebus.windows.net/<entityPath> http://contoso.servicebus.windows.net/contosoTopics/T1/Subscriptions/S3 .

URI yüzde kodlamalıolmalıdır.

İmzalama için kullanılan paylaşılan erişim yetkilendirme kuralı, bu URI tarafından belirtilen varlıkta veya hiyerarşik üst öğelerinden biri ile yapılandırılmış olmalıdır. Örneğin, http://contoso.servicebus.windows.net/contosoTopics/T1 veya http://contoso.servicebus.windows.net Önceki örnekte.

SAS belirteci, içinde kullanılan tüm kaynaklar için geçerlidir <resourceURI> signature-string .

Anahtarlar yeniden oluşturuluyor

Paylaşılan erişim yetkilendirme Ilkesinde kullanılan anahtarları düzenli olarak yeniden oluşturmanız önerilir. Anahtarları yavaş bir şekilde döndürebilmeniz için birincil ve ikincil anahtar yuvaları vardır. Uygulamanız birincil anahtarı genel olarak kullanıyorsa, birincil anahtarı ikincil anahtar yuvasına kopyalayabilir ve ardından birincil anahtarı yeniden oluşturabilirsiniz. Daha sonra yeni birincil anahtar değeri, ikincil yuvada eski birincil anahtar kullanılarak erişmeye devam eden istemci uygulamalarına yapılandırılabilir. Tüm istemciler güncelleştirildikten sonra, son olarak eski birincil anahtarı devre dışı bırakmak için ikincil anahtarı yeniden oluşturabilirsiniz.

Bir anahtarın güvenliğinin aşıldığını biliyorsanız veya kuşkulanıyorsanız ve anahtarları iptal etmeniz gerekiyorsa, paylaşılan erişim yetkilendirme Ilkesinin birincil anahtarını ve ikincil anahtarını yeniden oluşturabilir ve bunları yeni anahtarlarla değiştirin. Bu yordam, eski anahtarlarla imzalanan tüm belirteçleri geçersiz kılar.

Service Bus ile paylaşılan erişim Imzası kimlik doğrulaması

Aşağıdaki gibi açıklanan senaryo, yetkilendirme kuralları yapılandırması, SAS belirteçleri oluşturma ve istemci yetkilendirmesi içerir.

yapılandırmayı gösteren ve SAS yetkilendirmesi kullanan Service Bus bir uygulama örneği için, bkz. Service Bus ile paylaşılan erişim imzası kimlik doğrulaması.

Bir varlıktaki paylaşılan erişim yetkilendirme kurallarına erişme

ilgili paylaşılan erişim yetkilendirme kurallarına erişmek/güncelleştirmek için Service Bus yönetim kitaplıklarının içindeki sıralarda veya konularda al/güncelleştir işlemini kullanın. Ayrıca, bu kitaplıkları kullanarak kuyruklar veya konular oluştururken de kurallar ekleyebilirsiniz.

Paylaşılan erişim Imzası yetkilendirmesini kullanma

.net, Java, JavaScript ve Python gibi resmi olarak desteklenen dillerin herhangi birinde Service Bus SDK 'sını kullanan uygulamalar, istemci oluşturucusuna geçirilen bağlantı dizeleri aracılığıyla SAS yetkilendirmesinin kullanımını sağlayabilir.

Bağlantı dizeleri bir kural adı (Sharedaccesskeyname) ve kural anahtarı (Sharedaccesskey) veya daha önce verilen bir belirteç (sharedaccesssignature) içerebilir. Bir bağlantı dizesini kabul eden herhangi bir oluşturucuya veya fabrika yöntemine geçirilen bağlantı dizesinde mevcut olduğunda, SAS belirteç sağlayıcısı otomatik olarak oluşturulur ve doldurulur.

Service Bus abonelikleriyle sas yetkilendirmesi kullanmak için, Service Bus bir ad alanında veya bir konuda yapılandırılmış sas anahtarlarını kullanabilirsiniz.

Paylaşılan erişim Imzasını kullanın (HTTP düzeyinde)

artık Service Bus bir varlık için paylaşılan erişim imzaları oluşturmayı bildiğinize göre, bir HTTP gönderisi gerçekleştirmeye hazırsınız:

POST https://<yournamespace>.servicebus.windows.net/<yourentity>/messages
Content-Type: application/json
Authorization: SharedAccessSignature sr=https%3A%2F%2F<yournamespace>.servicebus.windows.net%2F<yourentity>&sig=<yoursignature from code above>&se=1438205742&skn=KeyName
ContentType: application/atom+xml;type=entry;charset=utf-8

Bu, her şey için kullanılabilir olduğunu unutmayın. Bir kuyruk, konu veya abonelik için SAS oluşturabilirsiniz.

Bir göndereni veya istemciye bir SAS belirteci verirseniz, bu anahtara doğrudan sahip olmaz ve karmayı geri çeviremez. Bu nedenle, ne kadar erişebileceklerini ve ne kadar süreyle erişebileceğini kontrol edersiniz. Anımsanması gereken önemli bir şey, ilkedeki birincil anahtarı değiştirirseniz, bundan oluşturulan tüm paylaşılan erişim Imzalarının geçersiz kılındığını unutmayın.

Paylaşılan erişim Imzasını kullanın (AMQP düzeyinde)

Önceki bölümde, Service Bus veri göndermek için bir HTTP POST isteğiyle SAS belirtecini nasıl kullanacağınızı gördünüz. bildiğiniz gibi, birçok senaryoda performans nedenleriyle kullanılacak tercih edilen protokol olan Gelişmiş İleti Sıraya Alma Protokolü (amqp) kullanarak Service Bus erişebilirsiniz. AMQP ile SAS belirteci kullanımı, 1,0 2013 sonrasında çalışan taslak, ancak bugün Azure tarafından desteklenen belge amqp Claim-Based güvenlik sürümü ' de açıklanmaktadır.

Service Bus verileri gönderilmeye başlamadan önce, yayımcı, bir amqp iletisinin içindeki SAS belirtecini $cbs adlı iyi tanımlanmış bir amqp düğümüne göndermelidir (tüm SAS belirteçlerini almak ve doğrulamak üzere hizmet tarafından kullanılan bir "özel" kuyruğu olarak görebilirsiniz). Yayımcının AMQP iletisi içinde ReplyTo alanını belirtmesi gerekir; Bu, hizmetin, bir yayımcının belirteç doğrulama sonucuyla (yayımcı ve hizmet arasında basit bir istek/yanıt düzeniyle) yanıt veren düğümüdür. Bu yanıt düğümü, AMQP 1,0 belirtiminde açıklanan "anında" uzak düğüm oluşturma "hakkında konuşuyor. SAS belirtecinin geçerli olup olmadığını kontrol ettikten sonra yayımcı, hizmete veri gönderilmeye başlayabilir ve çalışmaya başlayabilir.

Aşağıdaki adımlarda, AMQP.net Lite kitaplığı kullanılarak AMQP protokolü ile SAS belirtecinin nasıl gönderileceği gösterilmektedir. bu, resmi Service Bus SDK 'yı (örneğin, WinRT, .NET Compact Framework, .net mikro Framework ve Mono) C 'de geliştirmeye yönelik olarak kullanıyorsanız faydalıdır # . Tabii ki bu kitaplık, HTTP düzeyinde nasıl çalıştığını (bir HTTP POST isteği ve "Authorization" üst bilgisinde gönderilen SAS belirteci ile birlikte) gördüğünüz gibi, talep tabanlı güvenliğin AMQP düzeyinde nasıl çalıştığını anlamanıza yardımcı olmak için yararlıdır. amqp hakkında ayrıntılı bilgiye ihtiyacınız yoksa, .net, Java, JavaScript, Python ve Go gibi desteklenen dillerin hiçbirinde resmi Service Bus SDK 'sını kullanabilirsiniz. bu işlem sizin için yapılır.

C#

/// <summary>
/// Send claim-based security (CBS) token
/// </summary>
/// <param name="shareAccessSignature">Shared access signature (token) to send</param>
private bool PutCbsToken(Connection connection, string sasToken)
{
    bool result = true;
    Session session = new Session(connection);

    string cbsClientAddress = "cbs-client-reply-to";
    var cbsSender = new SenderLink(session, "cbs-sender", "$cbs");
    var cbsReceiver = new ReceiverLink(session, cbsClientAddress, "$cbs");

    // construct the put-token message
    var request = new Message(sasToken);
    request.Properties = new Properties();
    request.Properties.MessageId = Guid.NewGuid().ToString();
    request.Properties.ReplyTo = cbsClientAddress;
    request.ApplicationProperties = new ApplicationProperties();
    request.ApplicationProperties["operation"] = "put-token";
    request.ApplicationProperties["type"] = "servicebus.windows.net:sastoken";
    request.ApplicationProperties["name"] = Fx.Format("amqp://{0}/{1}", sbNamespace, entity);
    cbsSender.Send(request);

    // receive the response
    var response = cbsReceiver.Receive();
    if (response == null || response.Properties == null || response.ApplicationProperties == null)
    {
        result = false;
    }
    else
    {
        int statusCode = (int)response.ApplicationProperties["status-code"];
        if (statusCode != (int)HttpStatusCode.Accepted && statusCode != (int)HttpStatusCode.OK)
        {
            result = false;
        }
    }

    // the sender/receiver may be kept open for refreshing tokens
    cbsSender.Close();
    cbsReceiver.Close();
    session.Close();

    return result;
}

PutCbsToken()Yöntemi, HIZMETINE TCP bağlantısını temsil eden AMQP .net Lite kitaplığıtarafından sağlandığı bir bağlantı (AMQP bağlantı sınıfı ÖRNEĞI) ve göndermek Için SAS belirteci olan sastoken parametresi alır.

Ardından, Yayımcı, SAS belirtecini göndermek ve hizmeti yanıt (belirteç doğrulama sonucu) almak için iki AMQP bağlantısı oluşturur.

AMQP iletisi bir dizi özellik ve basit bir iletiden daha fazla bilgi içerir. SAS belirteci, iletinin gövdesidir (oluşturucusunu kullanarak). "ReplyTo" özelliği, alıcı bağlantısında doğrulama sonucunu almak için düğüm adına ayarlanır (isterseniz adını değiştirebilir ve hizmet tarafından dinamik olarak oluşturulur). Son üç uygulama/özel özellik, hizmet tarafından yürütülmesi gereken işlem türünü belirtmek için kullanılır. CBS taslak belirtiminde açıklandığı gibi, bunların işlem adı ("put-token"), belirtecin türü (Bu durumda, a servicebus.windows.net:sastoken ) ve belirtecin uygulandığı hedef kitlelerinin "adı" (tüm varlık) olması gerekir.

Gönderen bağlantısına SAS belirtecini gönderdikten sonra, yayımcı alıcı bağlantısındaki yanıtı okumalı olmalıdır. Yanıt, bir HTTP durum kodu ile aynı değerleri içerebilen "Status-Code" adlı bir uygulama özelliği olan basıt bır AMQP iletisidir.

Service Bus işlemler için gereken haklar

aşağıdaki tabloda Service Bus kaynakları üzerinde çeşitli işlemler için gereken erişim hakları gösterilmektedir.

Sonraki adımlar

Service Bus mesajlaşma hizmeti hakkında daha fazla bilgi edinmek için aşağıdaki konu başlıklarına bakın.

• Service Bus kuyrukları, konu başlıkları ve abonelikleri
• Service Bus kuyruklarını kullanma
• Service Bus konu başlıklarını ve aboneliklerini kullanma