O aplicație găzduită în Azure are adesea nevoie să citească fișiere, să consulte o bază de date sau să acceseze un serviciu de configurare. Când serviciul țintă acceptă autentificarea Microsoft Entra și configurația o permite, o identitate gestionată poate elimina necesitatea de a păstra un secret de autentificare al aplicației în setări. Alegerea face parte din proiectarea infrastructurii Microsoft Azure și trebuie analizată pentru fiecare conexiune.
Separați identitatea de drepturile acordate
Prin identitatea gestionată, resursa poate obține un token de la Microsoft Entra. Serviciul țintă stabilește ce operațiuni îi permite acelei identități. Crearea identității nu acordă automat acces la fișiere sau baze de date. Documentați pentru fiecare conexiune cine o folosește, ce acțiuni trebuie permise și cine poate modifica drepturile.
Imaginați-vă o aplicație care preia fișiere pentru un raport. Înainte să configurați accesul, precizați dacă trebuie doar să le citească sau dacă are nevoie și să salveze rezultatul. Tratați cele două operațiuni separat. Dacă raportul folosește un set restrâns de fișiere, nu acordați acces la alte date doar pentru a simplifica instalarea.
Alegeți cum gestionați durata de viață
O identitate atribuită de sistem este legată de resursa care o folosește. O identitate atribuită de utilizator este o resursă separată, care poate fi asociată cu mai multe resurse compatibile. Pentru un proiect concret, alegerea depinde de modul de instalare, de separarea responsabilităților și de ce trebuie să se întâmple când o resursă este înlocuită.
Verificați conexiunile în mediul de test
Inventariați serviciile și drepturile folosite înainte de trecere. Într-un mediu separat verificați operațiunile permise și scenariile care trebuie refuzate. Testați și repornirea aplicației, precum și comportamentul atunci când accesul la o dependență este indisponibil. Secretul vechi se retrage după ce confirmați că nu mai există procese autorizate care depind de el.
Înregistrați rezultatul pentru fiecare operațiune: identitatea folosită, resursa țintă, acțiunea și motivul unui refuz. Nu includeți tokenuri sau secrete în jurnal. Dacă testul trece numai cu drepturi mai largi decât cele stabilite, identificați operațiunea care lipsește înainte de a continua. Comparați separat configurația din test cu cea pe care o veți folosi în producție.
Documentați relația dintre resurse
Includeți identitățile și permisiunile în documentația tehnică, împreună cu motivul acordării accesului. Aceste informații ajută la verificarea unui incident și la predarea administrării. Dacă modernizați o aplicație, puteți discuta conectarea serviciilor odată cu dezvoltarea software. Contactați-ne pentru analiza conexiunilor Azure.
Surse: Microsoft: identități gestionate în Microsoft Entra.