Biztonságos hozzáférés az API Management fejlesztői portáljához

A KÖVETKEZŐKRE VONATKOZIK: Fejlesztő | Alapszintű | Alapszintű v2 | Standard | Standard v2 | Prémium | Prémium v2

Az API Management egy teljesen testre szabható, önálló, felügyelt fejlesztői portállal rendelkezik, amely külsőleg (vagy belsőleg) is használható annak érdekében, hogy a fejlesztői felhasználók felfedezhessék és interakcióba léphessenek az API Managementen keresztül közzétett API-kkal. A fejlesztői portál számos lehetőséget kínál a biztonságos felhasználói regisztráció és bejelentkezés megkönnyítésére.

Hitelesítési lehetőségek

• Külső felhasználók – A fejlesztői portál külső használata esetén az előnyben részesített beállítás az, ha engedélyezi az üzleti felhasználók számára a hozzáférés-vezérlést az Azure Active Directory B2C-n (Azure AD B2C) keresztül.

  • Az Azure AD B2C lehetővé teszi natív Azure AD B2C-fiókok használatát: a felhasználók regisztrálnak az Azure AD B2C-be, és ezzel az identitással férnek hozzá a fejlesztői portálhoz.
  • Az Azure AD B2C akkor is hasznos, ha azt szeretné, hogy a felhasználók a meglévő közösségi média vagy összevont szervezeti fiókok használatával férhessenek hozzá a fejlesztői portálhoz.
  • Az Azure AD B2C számos funkciót kínál a végfelhasználói regisztráció és a bejelentkezési élmény javítása érdekében, beleértve a feltételes hozzáférést és az MFA-t.

  Az Azure AD B2C-hitelesítés fejlesztői portálon való engedélyezésének lépéseit az Azure Active Directory B2C azure API Managementben történő engedélyezésével foglalkozó cikkben találja.

• Belső felhasználók – A fejlesztői portál belső használata esetén előnyben részesített lehetőség a vállalati Microsoft Entra-azonosító használata. A Microsoft Entra ID zökkenőmentes egyszeri bejelentkezést (SSO) biztosít azoknak a vállalati felhasználóknak, akiknek api-kat kell elérnie és felderítenie a fejlesztői portálon keresztül.

  A Microsoft Entra-hitelesítés fejlesztői portálon való engedélyezésének lépéseit a fejlesztői fiókok Microsoft Entra-azonosítóval történő engedélyezésével az Azure API Managementben című témakörben találja.

• Alapszintű hitelesítés – Az alapértelmezett beállítás a beépített fejlesztői portál felhasználónév- és jelszószolgáltatójának használata, amely lehetővé teszi a fejlesztők számára, hogy közvetlenül regisztráljanak az API Managementben, és API Management felhasználói fiókok használatával jelentkezzenek be. Az ezen a beállításon keresztül regisztrált felhasználót egy CAPTCHA-szolgáltatás védi.

  Figyelemfelhívás

  Bár alapszintű hitelesítéssel biztosíthatja a felhasználók hozzáférését a fejlesztői portálhoz, javasoljuk, hogy konfiguráljon egy biztonságosabb hitelesítési módszert, például a Microsoft Entra ID-t vagy az Azure AD B2C-t.

Fejlesztői portál tesztkonzolja

Amellett, hogy konfigurációt biztosít a fejlesztői felhasználóknak a hozzáférésre való regisztrációhoz és a bejelentkezéshez, a fejlesztői portál egy tesztkonzolt is tartalmaz, ahol a fejlesztők az API Managementen keresztül küldhetnek tesztkéréseket a háttér api-knak. Ez a tesztkörnyezet az API Management azon közreműködő felhasználói számára is létezik, akik az Azure Portal használatával kezelik a szolgáltatást.

Ha az Azure API Managementen keresztül közzétett API-t az OAuth 2.0 védi – vagyis egy hívó alkalmazásnak (tulajdonosnak) érvényes hozzáférési jogkivonatot kell beszereznie és átadnia – konfigurálhatja az API Managementet úgy, hogy érvényes jogkivonatot hozzon létre az Azure Portal vagy a fejlesztői portál tesztkonzol-felhasználója nevében. További információ: Hogyan engedélyezheti a fejlesztői portál tesztkonzolját az OAuth 2.0 felhasználói engedélyezésének konfigurálásával.

Ha engedélyezni szeretné, hogy a tesztkonzol érvényes OAuth 2.0-jogkivonatot szerezzen be az API-teszteléshez:

1. Adjon hozzá egy OAuth 2.0 felhasználói engedélyezési kiszolgálót a példányhoz. Bármilyen OAuth 2.0-szolgáltatót használhat, beleértve a Microsoft Entra ID-t, az Azure AD B2C-t vagy egy külső identitásszolgáltatót.

2. Ezután konfigurálja az API-t az engedélyezési kiszolgáló beállításaival. A portálon konfigurálja az OAuth 2.0-s hitelesítést az API Beállítások lapján>, biztonsági> felhasználó engedélyezése.

   

Az API-teszteléshez használt OAuth 2.0-konfiguráció független a fejlesztői portálhoz való felhasználói hozzáféréshez szükséges konfigurációtól. Az identitásszolgáltató és a felhasználó azonban ugyanaz lehet. Egy intranetes alkalmazás például megkövetelheti a felhasználói hozzáférést a fejlesztői portálhoz az egyszeri bejelentkezéssel és a vállalati identitással. Ugyanez a vállalati identitás beszerezhet egy jogkivonatot a tesztkonzolon keresztül, hogy a háttérszolgáltatást ugyanazzal a felhasználói környezettel hívja meg.

Forgatókönyvek

A különböző hitelesítési és engedélyezési lehetőségek különböző forgatókönyvekre vonatkoznak. Az alábbi szakaszok három példaforgatókönyv magas szintű konfigurációit ismertetik. További lépések szükségesek az API Management által közzétett API-k teljes körű védelméhez és konfigurálásához. A forgatókönyvek azonban szándékosan az egyes esetekben javasolt minimális konfigurációkra összpontosítanak a szükséges hitelesítés és engedélyezés biztosításához.

1. forgatókönyv – Intranetes API és alkalmazások

• Az API Management egyik közreműködője és háttér API-fejlesztője közzé szeretne tenni egy, az OAuth 2.0 által védett API-t.
• Az API-t olyan asztali alkalmazások fogják használni, amelyek felhasználói egyszeri bejelentkezéssel jelentkeznek be a Microsoft Entra-azonosítón keresztül.
• Az asztali alkalmazásfejlesztőknek az API Management fejlesztői portálon keresztül kell felderítenie és tesztelnie az API-kat.

Kulcskonfigurációk:

Ezzel a forgatókönyvvel egy lépéssel továbbhaladhat az API Management hálózati szegélyhálózatra való áthelyezésével és a bejövő forgalom fordított proxyn keresztüli szabályozásával. Referenciaarchitektúra : API-k védelme az Application Gateway és az API Management használatával.

2. forgatókönyv – Külső API, partneralkalmazás

• Az API Management közreműködője és háttér API-fejlesztője egy gyors megvalósíthatósági vizsgálatot szeretne végrehajtani egy örökölt API Azure API Managementen keresztüli felfedéséhez. Az API az API Managementen keresztül külsőleg (internetkapcsolattal) fog rendelkezni.
• Az API ügyféltanúsítvány-hitelesítést használ, és egy új, nyilvános elérésű, egyoldalas alkalmazás (SPA) fogja használni, amelyet egy partner fejlesztett ki.
• Az SPA az OAuth 2.0-t használja az OpenID Connect (OIDC) használatával.
• Az alkalmazásfejlesztők a fejlesztői portálon keresztül érhetik el az API-t egy tesztkörnyezetben, egy tesztháttérvégpont használatával felgyorsítva az előtérbeli fejlesztést.

Kulcskonfigurációk:

Ezzel a forgatókönyvvel egy lépéssel továbbhaladhat a microsoft entrai engedélyezéssel és a Microsoft Entra B2B együttműködéssel rendelkező fejlesztői portál használatával, hogy a kézbesítési partnerek szorosabban együttműködhessenek. Fontolja meg az API Managementhez való hozzáférés RBAC-vel való delegálását fejlesztési vagy tesztelési környezetben, és engedélyezze az egyszeri bejelentkezést a fejlesztői portálon a saját vállalati hitelesítő adataik használatával.

3. forgatókönyv – Nyilvánosan megnyitott külső API, az SaaS

• Az API Management egyik közreműködője és háttér API-fejlesztője számos új API-t ír, amelyek elérhetők lesznek a közösségi fejlesztők számára.

• Az API-k nyilvánosan elérhetők lesznek, teljes funkcionalitással, egy fizetőfal mögött védve és az OAuth 2.0-val biztosítva. A licenc megvásárlása után a fejlesztő saját ügyfél-hitelesítő adataival és az éles használatra érvényes előfizetési kulccsal rendelkezik.

• A külső közösségi fejlesztők a fejlesztői portálon fogják felderíteni az API-kat. A fejlesztők a közösségimédia-fiókjukkal regisztrálnak és bejelentkeznek a fejlesztői portálra.

• A teszt-előfizetési kulccsal rendelkező érdeklődő fejlesztői portál felhasználói tesztkörnyezetben fedezhetik fel az API funkcióit anélkül, hogy licencet kellene vásárolniuk. A fejlesztői portál tesztkonzolja a hívó alkalmazást jelöli, és létrehoz egy alapértelmezett hozzáférési jogkivonatot a háttér API-hoz.

  Figyelemfelhívás

  A fejlesztői portál tesztkonzolján az ügyfél hitelesítő adatainak használata esetén fokozott óvatosságra van szükség. Tekintse meg a biztonsági szempontokat.

Kulcskonfigurációk:

Egy lépéssel továbbhaladhat a felhasználói regisztráció vagy a termék-előfizetés delegálásával, és kibővítheti a folyamatot a saját logikájával.

Kapcsolódó tartalom

• További információ a hitelesítésről és az engedélyezésről a Microsoft Identitásplatform.
• Ismerje meg, hogyan háríthatja el az OWASP API biztonsági fenyegetéseit az API Management használatával.