Microsoft identity platform

Mettre en œuvre la sécurité Azure pour les développeurs

Anushika Agarwal

Cloud Data Engineer

Qu'est-ce que Microsoft identity platform ?

Gère l'ouverture de session et l'accès des applications
- Bâti sur Microsoft Entra ID
  - Entra ID = service d'identité central
  - Identity Platform = couche développeur pour les applis

Lien entre Entra ID et Microsoft Identity Platform

Comment ça fonctionne ?

Authentifie :
- Normes :
  1. OAuth 2.0 : limite ce que les applis peuvent faire
  2. OpenID Connect : confirme votre identité
- Types de comptes
  - Comptes d'entreprise/d'école
  - Comptes personnels Microsoft
  - Comptes sociaux/locaux

Microsoft Identity Platform

Outils clés de Microsoft identity platform

MSAL :
- demande des jetons pour les applis

MSAL

Inscription d'appli :
- configure l'identité de l'appli dans Azure

Inscription d'application

Microsoft Graph API :
- accède aux utilisateurs, groupes et ressources

Microsoft Graph API

Inscription d'application

Inscrire des applis les relie à Entra ID
Choisir :
- Locataire unique : l'appli fonctionne seulement dans votre organisation
- Multilocataire : l'appli fonctionne entre organisations
Crée automatiquement :
- Objet d'application
- Principal du service
Ajouter secrets, certificats, étendues et image de marque

Inscription d'application

Objet d'application

Plan de l'application
Réside dans votre locataire d'origine
Définit l'authentification et les règles d'accès

Objet d'application

Exemple : objet d'application dans PeopleSphere

PeopleSphere crée une appli RH dans son propre locataire

Exemple d'objet d'application de PeopleSphere

Principal du service

Instance de l'appli dans chaque locataire
Copie fonctionnelle de l'original
Chaque client obtient son propre principal du service dans son locataire

Principal du service

Exemple : principal du service chez DataCamp

Principal du service créé dans le locataire de DataCamp

Exemple de principal du service chez DataCamp

Types de principal du service

Application :
- instance d'appli standard

Application

Identité gérée :
- accès sans secret

Identité gérée

Héritée :
- anciennes applis

Héritée

Autorisations

Les applis demandent l'accès avec OAuth 2.0 et des étendues d'autorisation
graph.microsoft.com/Calendars.Read

Exemple d'étendue Calendars.Read.

Comment les applis demandent et obtiennent l'accès via Microsoft Identity Platform

Autorisations déléguées

L'appli agit au nom de l'utilisateur quand il y a ouverture de session
Exemple : PeopleSphere planifie des réunions pour les utilisateurs DataCamp

Exemple d'autorisation déléguée de PeopleSphere

Autorisations « App-only »

L'appli agit en son propre nom
Aucun utilisateur impliqué
Exemple : PeopleSphere synchronise les données RH chaque nuit

Exemple d'autorisation « App-only » de PeopleSphere

Consentement

Les applis ont besoin d'un consentement pour activer les étendues d'autorisation
Types de consentement :
- Statique : permissions fixées à l'inscription
- Progressif : ajout au besoin
- Admin : requis pour un accès à privilèges élevés

Consentement

Passons à la pratique !

Mettre en œuvre la sécurité Azure pour les développeurs