Volg deze stappen om HTTPS te configureren om JWT's in Azure Logic -apps te beschermen:
1. Zorg voor HTTPS voor Logic APP -eindpunten: Azure Logic -apps mogen alleen toegankelijk zijn via HTTPS om gegevens tijdens het transport te beschermen. Dit kan worden afgedwongen met behulp van Azure-beleid zoals "Deny-Logicapps-zonder-HTTPS" om ervoor te zorgen dat alle logische apps HTTPS gebruiken [2].
2. Gebruik API -management voor extra beveiliging: plaats Azure API Management (APIM) voor uw logische apps. APIM biedt extra beveiligingsfuncties zoals OAuth 2.0 en Azure Active Directory (AAD) authenticatie, die kan worden gebruikt om JWTS [1] [4] te valideren.
3. Valideer JWT's met API -managementbeleid: gebruik het Validate JWT -beleid in API Management om het bestaan en de geldigheid van JWT's af te dwingen. Dit beleid kan claims zoals het publiek controleren om ervoor te zorgen dat alleen geautoriseerde verzoeken worden verwerkt [1].
4. Beveilig JWT -transmissie: verzenden JWT's altijd over HTTPS om afluisteren aanvallen te voorkomen. Dit zorgt ervoor dat de JWT veilig wordt verzonden tussen de client en server [6].
5. Bewaar JWT's veilig: bewaar JWT's veilig met behulp van mechanismen zoals browserkoekjes of beveiligde opslagoplossingen om ongeautoriseerde toegang te voorkomen [6].
6. Implementeer clientcertificaten voor HTTPS -aanvragen: als uw logische app HTTPS -aanvragen moet doen met behulp van clientcertificaten, uploadt u uw .CRT- en .key -bestanden naar Azure Key Vault of Blob -opslag. Gebruik deze bestanden in de HTTP -acties van uw logische app om HTTPS -aanvragen veilig te verzenden [5].
Door deze stappen te volgen, kunt u JWT's effectief beschermen in Azure Logic -apps met behulp van HTTP's en aanvullende beveiligingsmaatregelen.
Citaten:
[1] https://techcommunity.microsoft.com/blog/azuredevcommunityblog/part-4-secure-your-logic-app-using-api-management-8211-validate-jwt-access-restr/336802
[2] https://www.azadvertizer.net/azpolicyadvertizer/deny-loogicapps-without-https.html
[3] https://adityadeshpandeadi.wordpress.com/2020/07/23/autorization-for-azure-Agic-apps-token Based/
[4] https://turbo360.com/blog/logic-app-bleer-practices-secure-your-azure-logic-apps
[5] https://stackoverflow.com/questions/78261501/azure-logic-app-https-connection-over-ssl-use-crt-key-files
[6] https://www.softwaresecurured.com/post/how-to-prope--creque-secure-your-jwts
[7] https://microsoft.github.io/azure-threat-smatrix/credentialaccess/azt601/azt601-3/
[8] https://auth0.com/blog/how-to-validate-jwt-dotnet/