Microsoft identity platform

為開發人員實作 Azure 安全性

Anushika Agarwal

Cloud Data Engineer

什麼是 Microsoft identity platform？

• 管理應用程式登入與存取
  • 建立於 Microsoft Entra ID 之上
    • Entra ID＝核心身分服務
    • Identity Platform＝給應用程式的開發層

如何運作？

• 驗證：
  • 標準：
    1. OAuth 2.0： 限定應用程式能做的事
       
    2. OpenID Connect： 確認你是誰
  • 帳戶類型
    • 企業／學校帳戶
    • 個人 Microsoft 帳戶
    • 社群／本機帳戶

Microsoft identity platform 的關鍵工具

• MSAL：
  • 代表應用程式請求權杖

• App registration：
  • 在 Azure 設定應用程式身分

• Microsoft Graph API：
  • 存取使用者、群組與資源

App registration（應用程式註冊）

• 註冊應用程式即可連結到 Entra ID

• 選擇：

  • Single-tenant：應用程式只在你的組織內使用
  • Multi-tenant：應用程式可跨組織使用

• 自動建立：

  • Application object
  • Service principal

• 新增密碼、憑證、範圍與品牌設定

Application object（應用程式物件）

• 應用程式的藍圖
• 存於你的主租用戶
• 定義驗證與存取規則

範例：PeopleSphere 的 application object

• PeopleSphere 在其自家租用戶中建立 HR 應用程式

Service principal（服務主體）

• 在每個租用戶中的應用程式實體
• 原始金鑰的可運作副本
• 每位客戶在其租用戶中都有自己的service principal

範例：DataCamp 的 service principal

• 在 DataCamp 的租用戶中建立的 Service Principal

Service principal 的類型

• Application：
  • 標準的應用程式實體

• Managed Identity：
  • 無密碼的存取

• Legacy：
  • 舊版應用程式

權限

• 應用程式用 OAuth 2.0 與權限範圍請求存取

• graph.microsoft.com/Calendars.Read

委派權限

• 有已登入使用者時，應用程式代表使用者行動

• 範例：PeopleSphere 為 DataCamp 使用者排程會議

僅應用程式權限

• 應用程式以自身身分行動
• 無使用者參與
• 範例：PeopleSphere 每晚同步 HR 資料

同意（Consent）

• 應用程式需要同意才能啟用權限範圍

• 同意類型：

  • 靜態：在註冊時設定的權限
  • 增量：視需要新增
  • 系統管理員：高權限存取所需

一起來練習吧！

為開發人員實作 Azure 安全性