Безопасный доступ с управляемыми удостоверениями

Реализация безопасности Azure для разработчиков

Anushika Agarwal

Cloud Data Engineer

Проблема секретов

  • Секреты жёстко заданы в коде или конфигурации
  • Сложно ротировать и защищать

Риск жёстко заданных секретов

Реализация безопасности Azure для разработчиков

Управляемое удостоверение

  • Безопасное удостоверение, назначаемое ресурсу Azure
  • Ресурс получает защищённый доступ к другим службам
  • Хранить учётные данные не требуется

Управляемое удостоверение

Реализация безопасности Azure для разработчиков

Как это работает?

  • Особый вид субъекта-службы
  • Полностью управляется Azure
  • Azure берёт на себя создание, ротацию и удаление

Управляемое удостоверение

Реализация безопасности Azure для разработчиков

Пример: приложение PeopleSphere HR

  • Модуль расчёта зарплаты использует управляемое удостоверение для доступа к Key Vault

Пример — приложение PeopleSphere HR

Реализация безопасности Azure для разработчиков

Системное управляемое удостоверение

  • Подготовка

    • Azure автоматически создаёт удостоверение
    • Учётные данные и ручная настройка не нужны

  • Жизненный цикл

    • Жизненный цикл завершается вместе с ресурсом
    • Привязан к одному ресурсу

  • Управление доступом

    • Назначение ролей через Azure RBAC

Реализация безопасности Azure для разработчиков

Управляемое удостоверение, назначаемое пользователем

  • Подготовка

    • Создаётся как отдельный ресурс Azure
    • Одна политика доступа для нескольких ресурсов

  • Жизненный цикл

    • Повторно используется в нескольких службах
    • Не зависит от конкретного ресурса

  • Управление доступом

    • Назначение ролей через Azure RBAC

Управляемое удостоверение, назначаемое пользователем

Реализация безопасности Azure для разработчиков

Системное vs. назначаемое пользователем: ключевые отличия

Категория Системное Назначаемое пользователем
Подготовка Создаётся вместе с ресурсом Создаётся как отдельный ресурс
Жизненный цикл Привязан к жизненному циклу ресурса Независим от жизненного цикла ресурса
Повторное использование Нельзя использовать совместно Можно переиспользовать в службах
Доступ Использует Azure RBAC Использует Azure RBAC
Сценарий Рабочие нагрузки с одним ресурсом Несколько ресурсов или предварительная настройка
Реализация безопасности Azure для разработчиков

Какие службы поддерживают управляемые удостоверения?

  • Любая служба, поддерживающая проверку подлинности Microsoft Entra

  • Примеры:

    • Виртуальные машины
    • Службы приложений
    • Azure Functions
    • Key Vault
    • Azure Storage

  • Полный список: Microsoft Docs — поддерживаемые службы

Виртуальные машины

Службы приложений

Azure Functions

Key Vault

Azure Storage

Реализация безопасности Azure для разработчиков

Давайте потренируемся!

Реализация безопасности Azure для разработчиков

Preparing Video For Download...