Захищений доступ із керованими ідентичностями

Реалізація безпеки Azure для розробників

Anushika Agarwal

Cloud Data Engineer

Проблема із секретами

  • Секрети захардкоджені в коді або конфігурації
  • Складно обертати або захищати

Ризик захардкоджених секретів

Реалізація безпеки Azure для розробників

Керована ідентичність

  • Захищена ідентичність, призначена ресурсу Azure
  • Ресурс може безпечно звертатися до інших сервісів
  • Не потрібно зберігати облікові дані

Керована ідентичність

Реалізація безпеки Azure для розробників

Як це працює?

  • Особливий тип service principal
  • Повністю керується Azure
  • Azure відповідає за створення, ротацію й видалення

Керована ідентичність

Реалізація безпеки Azure для розробників

Приклад: застосунок PeopleSphere HR

  • Модуль нарахування зарплати використовує керовану ідентичність для доступу до Key Vault

Приклад — застосунок PeopleSphere HR

Реалізація безпеки Azure для розробників

Керована ідентичність, призначена системою

  • Надання

    • Azure автоматично створює ідентичність
    • Облікові дані й ручне налаштування не потрібні

  • Життєвий цикл

    • Завершується разом із ресурсом
    • Прив'язана до одного ресурсу

  • Керування доступом

    • Призначайте ролі через Azure RBAC

Реалізація безпеки Azure для розробників

Керована ідентичність, призначена користувачем

  • Надання

    • Створюється як окремий ресурс Azure
    • Одна політика доступу, кілька ресурсів

  • Життєвий цикл

    • Можна використовувати в кількох сервісах
    • Незалежна від конкретного ресурсу

  • Керування доступом

    • Призначайте ролі через Azure RBAC

User-Assigned Managed Identity

Реалізація безпеки Azure для розробників

Системна vs користувацька: ключові відмінності

Категорія Призначена системою Призначена користувачем
Надання Створюється разом із ресурсом Створюється як окремий ресурс
Життєвий цикл Пов'язана з життєвим циклом ресурсу Незалежна від життєвого циклу ресурсу
Повторне використання Не ділиться між ресурсами Можна повторно використовувати в сервісах
Доступ Використовує Azure RBAC Використовує Azure RBAC
Випадок використання Навантаження одного ресурсу Багаторесурсні або попередньо надані налаштування
Реалізація безпеки Azure для розробників

Які сервіси підтримують керовані ідентичності?

  • Будь-який сервіс, що підтримує Microsoft Entra authentication

  • Поширені приклади:

    • Virtual Machines
    • App Services
    • Azure Functions
    • Key Vault
    • Azure Storage

  • Повний список: Microsoft Docs - Supported Services

Virtual Machines

App Services

Azure Functions

Key Vault

Azure Storage

Реалізація безпеки Azure для розробників

Давайте потренуємось!

Реалізація безпеки Azure для розробників

Preparing Video For Download...