Ak chcete bezpečne uložiť kľúče JWT v aplikáciách Azure Logic, môžete využiť niekoľko stratégií, ktoré zvyšujú bezpečnosť a dodržiavanie predpisov:
1. Na autentifikáciu použite spravovanú identitu (MI)
- Prečo je to bezpečné: Spravovaná identita eliminuje potrebu ručne ukladať a spravovať klávesy alebo tajomstvá pripojenia. Používa Azure Active Directory (AAD) na bezpečný prístup, zjednodušenie procesov autentifikácie a autorizácie.- Ako implementovať: Povoľte spravovanú identitu pridelenú systémom pre vašu logickú aplikáciu. To umožňuje logickej aplikácii autentifikáciu pomocou služieb Azure, ako je Azure Key Vault bez priameho spracovania klávesov [1] [9].
2. Integrácia Azure Key Vault
- Prečo je to bezpečné: Azure Key Vault bezpečne ukladá a spravuje citlivé údaje vrátane kryptografických kľúčov. Klávesy je možné vytvoriť a používať v kľúči, bez vystavenia súkromného kľúča.- Ako implementovať:
- Vytvorte kľúč v trezore Azure Key, pomocou Azure CLI alebo portálu.
- Pomocou rozhrania Azure Key Vault REST API na prístup a správu klávesov z vašej logickej aplikácie. Vyžaduje si to nastavenie prístupových pravidiel v kľúči, aby sa vaša logická aplikácia umožnila načítať alebo používať klávesy [5] [6].
3. Zabezpečená generácia a úložisko JWT
- Prečo je to bezpečné: Generovanie JWTS bezpečne zahŕňa použitie bezpečného podpisového kľúča a zabezpečenie prenosu tokenu cez HTTP.- Ako implementovať:
- Použite knižnicu ako `jsonWebToken` v node.js na generovanie JWTS so zabezpečeným tajným kľúčom.
- Uistite sa, že sa podpisové tajomstvo bezpečne skladuje, ideálne v trezore Azure Key.
- Vždy vysielajte JWT cez HTTP, aby ste zabránili odpočúvaniu [3] [5].
4. Osvedčené postupy pre manipuláciu s JWT
- Nastavte príslušné časy vypršania uplynutia: Zaistite, aby JWT mali primerané časy vypršania platnosti, aby sa znížilo zneužitie.- Používajte HTTPS: Vždy vysielajte JWT cez HTTPS.
- Udržiavajte podpisové tajomstvá bezpečné: Nikdy nevystavujte svoje tajomstvo podpisu JWT [3].
Implementáciou týchto stratégií môžete bezpečne spravovať klávesy JWT v aplikáciách Azure Logic a zároveň udržiavať vysoké bezpečnostné normy a požiadavky na dodržiavanie predpisov.
Citácie:
[1] https://learn.microsoft.com/en-ie/answers/questions/2088117/how-to-get-jwt-token-woken-wich-is-generated-in-code-code
[2] https://www.descope.com/blog/post/developer-guide-jwt-storage
[3] https://www.restack.io/p/tokenization-azure-logic-apps-answer-cat-ai
[4] https://learn.microsoft.com/en-us/azure/logic-apps/logic-apps-Custom-api -Api-Authentication
[5] https://zure.com/blog/azure-key-vault-sign-and-and-encrypt-json-web-tokens/
[6] https://stackoverflow.com/questions/57884305/USUUSION-KEY-KEY-VAULT-ON --ZURE-LOGIC-APP-APP-APAP-CONNECtion
[7] https://learn.microsoft.com/en-us/azure/logic-apps/logic-apps-secucing-a-logic-app
[8] https://turbo360.com/blog/logic-app-best-practices-secure-your-zurure-logic-apps
Https://gotoguy.blog/2020/12/04/blog-series-powering-p-your-home-fice-lights-part-3-using-using-ogic-apps-to-authorize-and-access-aokes-using-oauth-and-g---memote-api/