Fejlesztés Teljes felügyelet alapelvek használatával

Ez a cikk fejlesztőként segít megérteni a Teljes felügyelet alapelveit az alkalmazásbiztonság javítása érdekében. Kulcsszerepet játszik a szervezeti biztonságban; az alkalmazások és fejlesztőik már nem feltételezhetik, hogy a hálózat peremhálózata biztonságos. A sérült alkalmazások a teljes szervezetre hatással lehetnek.

A szervezetek új biztonsági modelleket helyeznek üzembe, amelyek alkalmazkodnak az összetett modern környezetekhez, és magukba foglalják a mobil munkaerőt. Az új modellek célja a személyek, eszközök, alkalmazások és adatok védelme, bárhol is legyenek. A szervezetek arra törekszenek, hogy Teljes felügyelet, biztonsági stratégiát és megközelítést alkalmazzanak az alábbi alapelveket követő alkalmazások tervezéséhez és implementálásához:

• Explicit ellenőrzés
• A legkevésbé jogosultsági hozzáférés használata
• A szabálysértés feltételezése

Ahelyett, hogy a vállalati tűzfal mögött minden biztonságban lenne, a Teljes felügyelet modell biztonsági rést feltételez, és ellenőrzi az egyes kéréseket, mintha egy ellenőrizetlen hálózatból származna. Függetlenül attól, hogy honnan származik a kérelem, vagy milyen erőforráshoz fér hozzá, a Teljes felügyelet modell megköveteli, hogy "soha ne bízzunk meg, mindig ellenőrizzük".

Tudja meg, hogy a Teljes felügyelet nem helyettesíti a biztonsági alapokat. Bármilyen eszközről származó munkával úgy tervezheti meg alkalmazásait, hogy a fejlesztési ciklus során Teljes felügyelet alapelveket is belefoglaljon.

Miért érdemes Teljes felügyelet szemszögből fejlődni?

• A kiberbiztonsági támadások kifinomultsági szintjének emelkedését látjuk.
• A "bárhonnan végzett munka" munkaerő újradefiniálta a biztonsági szegélyt. Az adatok a vállalati hálózaton kívül érhetők el, és megosztják őket külső közreműködőkkel, például partnerekkel és szállítókkal.
• A vállalati alkalmazások és adatok a helyszíni környezetből hibrid és felhőalapú környezetekbe kerülnek. A hagyományos hálózati vezérlők már nem támaszkodhatnak a biztonságra. A vezérlőknek oda kell lépnie, ahol az adatok találhatók: az eszközökön és az alkalmazásokon belül.

Az ebben a szakaszban található fejlesztési útmutató segítséget nyújt a biztonság növelésében, a biztonsági incidensek robbanási sugarának csökkentésében és a Microsoft technológia használatával történő gyors helyreállításban.

Következő lépések

Iratkozzon fel a fejlesztésre Teljes felügyelet alapelvek rss-hírcsatornáján az új cikkek értesítéséhez.

Fejlesztői útmutató – áttekintés

• Mit értünk a Teljes felügyelet megfelelőség alatt? a fejlesztők szempontjából áttekintést nyújt az alkalmazásbiztonságról, hogy megfeleljen a Teljes felügyelet alapelveinek.
• Használjon Teljes felügyelet identitás- és hozzáférés-kezelési fejlesztési ajánlott eljárásokat az alkalmazásfejlesztési életciklusban a biztonságos alkalmazások létrehozásához.
• A szabványokon alapuló fejlesztési módszertanok áttekintést nyújtanak a támogatott szabványokról és azok előnyeiről.
• Az alkalmazásregisztrációval, engedélyezéssel és hozzáféréssel kapcsolatos fejlesztői és rendszergazdai feladatok segítenek az informatikai szakemberekkel való hatékonyabb együttműködésben.

Engedélyek és hozzáférés

• Az engedélyek és hozzájárulások révén identitást biztonságossá tevő alkalmazások létrehozása áttekintést nyújt az engedélyekről és az ajánlott eljárásokhoz való hozzáférésről.
• Az alkalmazások integrálása a Microsoft Entra-azonosítóval és a Microsoft Identitásplatform segítségével a fejlesztők olyan alkalmazásokat hozhatnak létre és integrálhatnak, amelyeket az informatikai szakemberek biztonságossá tehetnek a vállalaton belül.
• Az alkalmazások regisztrálása bevezeti a fejlesztőket az alkalmazásregisztrációs folyamatba és annak követelményeibe. Segít nekik biztosítani, hogy az alkalmazások megfeleljenek Teljes felügyelet minimális jogosultsági szintű hozzáférés használatának alapelveinek, és feltételezik a jogsértést.
• Az egy- és több-bérlős alkalmazások támogatott identitás- és fióktípusai azt ismertetik, hogyan választhatja ki, hogy az alkalmazás csak a Microsoft Entra-bérlői, bármely Microsoft Entra-bérlői vagy személyes Microsoft-fiókkal rendelkező felhasználókat engedélyezi-e.
• A felhasználók hitelesítése Teljes felügyelet segítségével a fejlesztők megismerhetik az alkalmazásfelhasználók hitelesítésének ajánlott eljárásait Teljes felügyelet alkalmazásfejlesztés során. Leírja, hogyan javíthatja az alkalmazásbiztonságot a minimális jogosultság Teljes felügyelet alapelveivel, és hogyan ellenőrizheti explicit módon.
• Az erőforrások elérésére vonatkozó engedélyek beszerzése segít megérteni, hogyan biztosíthatja a legjobban Teljes felügyelet az alkalmazás erőforrás-hozzáférési engedélyeinek beszerzésekor.
• A delegált engedélystratégia segítségével a legjobb módszert valósíthatja meg az alkalmazások engedélyeinek kezeléséhez, és Teljes felügyelet alapelveket használva fejleszthet.
• Az alkalmazásengedélyezési stratégia kialakításával eldöntheti, hogy milyen alkalmazásengedély-megközelítést alkalmaz a hitelesítő adatok kezelésére.
• A rendszergazdai hozzájárulást igénylő engedélyek kérése azt az engedélyt és a hozzájárulási élményt ismerteti, amikor az alkalmazásengedélyek rendszergazdai hozzájárulást igényelnek.
• A túlprivilegált engedélyek és alkalmazások csökkentése segít korlátozni a jogosultságot a hozzáférés kezeléséhez és a biztonság javításához.
• Adja meg az alkalmazás identitásának hitelesítő adatait, ha nincs felhasználó , és ismerteti az Azure-erőforrások felügyelt identitásainak ajánlott eljárásait a szolgáltatásokhoz (nemfelhasználó alkalmazásokhoz).
• A Teljes felügyelet-jogkivonatok kezelése segít a fejlesztőknek abban, hogy a biztonságot azonosító jogkivonatokkal, hozzáférési jogkivonatokkal és biztonsági jogkivonatokkal rendelkező alkalmazásokká alakítják, amelyeket a Microsoft Identitásplatform kaphatnak.
• A jogkivonatok testreszabása a Microsoft Entra-jogkivonatokban kapott információkat és a jogkivonatok testreszabásának módját ismerteti.
• A folyamatos hozzáférés-kiértékeléssel rendelkező alkalmazások biztonságossá tétele lehetővé teszi a fejlesztők számára az alkalmazások biztonságának javítását a folyamatos hozzáférés-értékeléssel. Megtudhatja, hogyan biztosíthat Teljes felügyelet támogatást azokban az alkalmazásokban, amelyek engedélyt kapnak az erőforrások elérésére, amikor hozzáférési jogkivonatokat szereznek be a Microsoft Entra-azonosítóból.
• A csoportjogcímek és alkalmazásszerepkörök tokenekben való konfigurálása bemutatja, hogyan konfigurálhatja az alkalmazásokat alkalmazásszerepkör-definíciókkal, és hogyan rendelhet hozzá biztonsági csoportokat.
• Az API Protection ismerteti az API regisztrációval, engedélyek és hozzájárulások meghatározásával, valamint a hozzáférés kényszerítésével kapcsolatos ajánlott eljárásokat a Teljes felügyelet célok elérése érdekében.
• Példa a Microsoft identitás-jóváhagyási keretrendszer által védett API-ra, amely segít a minimális jogosultsági szintű alkalmazásengedélyezési stratégiák kialakításában a legjobb felhasználói élmény érdekében.
• Ha egy API-t egy másik API-ból hív meg, azzal biztosíthatja, hogy Teljes felügyelet, ha van olyan API, amelyet egy másik API-nak kell meghívnia. Megtudhatja, hogyan fejlesztheti biztonságosan az alkalmazást, ha egy felhasználó nevében dolgozik.
• Az ajánlott engedélyezési eljárások segítségével implementálhatja a legjobb engedélyezési, engedély- és hozzájárulási modelleket az alkalmazásokhoz.

Teljes felügyelet DevSecOps

• A DevOps-környezetek biztonságossá tétele Teljes felügyelet a DevOps-környezetek biztonságossá tételének ajánlott eljárásait ismerteti.
• A DevOps platformkörnyezet biztonságossá tételével Teljes felügyelet elveket valósíthat meg a DevOps platformkörnyezetében, és kiemeli a titkos kódok és tanúsítványok kezelésének ajánlott eljárásait.
• A fejlesztői környezet biztonságossá tételével Teljes felügyelet alapelveket valósíthat meg a fejlesztési környezetekben a minimális jogosultsági, ágbiztonsági és megbízhatósági eszközök, bővítmények és integrációk ajánlott eljárásaival.
• A biztonsági Teljes felügyelet beágyazása a fejlesztői munkafolyamatba segít a gyors és biztonságos innovációban.

További Teljes felügyelet dokumentáció

Hivatkozzon az alábbi Teljes felügyelet tartalomra a szervezet dokumentációkészlete vagy szerepkörei alapján.

Dokumentációkészlet

Kövesse ezt a táblázatot az igényeinek leginkább megfelelő Teljes felügyelet dokumentációs készletekért.

Saját szerepkör

Kövesse ezt a táblázatot a szervezetében betöltött szerepköre legjobb dokumentációs készleteiért.