零信任标识和访问管理开发最佳做法

若要创建遵循零信任原则的安全应用程序,Microsoft 建议在整个应用程序开发生命周期中整合多个最佳做法,其中一些最佳做法如下所示。

最佳做法 详细信息
使用 Microsoft 身份验证库 (MSAL) 和 Microsoft Graph 按照已知且接受的标准和库开发应用程序可以提高应用程序可移植性和安全性。 在开发 Azure Active Directory (AD) 应用程序时,MSALMicrosoft Graph 是最佳选择。

Microsoft 强烈建议使用 MSAL 等库开发应用程序,而不是协议,因为协议存在缺陷,其文档可能非常广泛。 MSAL 开发人员已经为你完成了与协议相容性的工作,MSAL 在直接使用 Azure AD 时针对效率进行了优化。
委托标识和访问管理 开发应用程序以使用令牌进行显式标识验证和访问控制,这些令牌可由客户定义和管理。 Microsoft 不建议为应用程序创建自己的用户名和密码管理系统。
规划最低特权访问策略 零信任指示客户实现最低特权访问。 必须充分开发和记录应用程序,以便成功配置这些策略,这意味着应用程序必须支持令牌,并且必须了解并记录应用程序将调用的所有 API 和资源。
管理令牌 应用程序将从 Azure AD 请求令牌。 管理这些令牌涉及验证它们是否有效且作用域为应用程序、适当缓存令牌以及按预期使用它们。 Microsoft 建议通过检查错误类和编写适当的响应来处理令牌问题。 请注意,不应直接读取访问令牌。 请改用Microsoft 标识平台最佳做法应用程序查看令牌响应下的访问令牌范围和详细信息。