Para configurar HTTPS para proteger a JWTS en aplicaciones lógicas de Azure, siga estos pasos:
1. Asegúrese de HTTPS para puntos finales de aplicaciones lógicas: las aplicaciones lógicas de Azure solo deben ser accesibles a través de HTTPS para proteger los datos en tránsito. Esto se puede aplicar utilizando políticas de Azure como "Deny-LogicApps-Without-HTTPS" para garantizar que todas las aplicaciones lógicas usen HTTPS [2].
2. Utilice la gestión de API para seguridad adicional: coloque la gestión de API de Azure (APIM) frente a sus aplicaciones lógicas. APIM proporciona características de seguridad adicionales como la autenticación OAuth 2.0 y Azure Active Directory (AAD), que puede usarse para validar JWTS [1] [4].
3. Validar JWTS con Políticas de gestión de API: use la política de validar JWT en la gestión de API para hacer cumplir la existencia y validez de JWTS. Esta política puede verificar reclamos como la audiencia para garantizar que solo se procesen las solicitudes autorizadas [1].
4. Transmisión segura de JWT: siempre transmite JWTS a través de HTTP para evitar ataques de espía. Esto asegura que el JWT se transmita de forma segura entre el cliente y el servidor [6].
5. Almacene JWTS de forma segura: almacene JWTS de forma segura utilizando mecanismos como cookies de navegador o soluciones de almacenamiento seguras para evitar el acceso no autorizado [6].
6. Implemente los certificados del cliente para las solicitudes HTTPS: si su aplicación lógica necesita realizar solicitudes HTTPS utilizando certificados del cliente, cargue sus archivos .CRT y .Key en Azure Key Vault o Stuft Storage. Use estos archivos en las acciones HTTP de su aplicación lógica para enviar de forma segura las solicitudes HTTPS [5].
Siguiendo estos pasos, puede proteger de manera efectiva a los JWT en aplicaciones de lógica de Azure utilizando HTTPS y medidas de seguridad adicionales.
Citas:
[1] https://techcommunity.microsoft.com/blog/azuredevcommunityblog/part-4-secure-your-logic-app-using-api-management-8211-validate-jwt-access-restr/36802
[2] https://www.azadvertizer.net/azpolicyadvertizer/deny-logicapps-without-https.html
[3] https://adityadeshpandeadi.wordpress.com/2020/07/23/authorization-for-azure-logic-apps-token basado en//
[4] https://turbo360.com/blog/logic-app-best-practices-secure-your-azure-logic-apps
[5] https://stackoverflow.com/questions/78261501/azure-logic-app-https-connection-over-ssl-Using-crt-key-files
[6] https://www.softwaresecured.com/post/how-to-properly-secure-your-jwts
[7] https://microsoft.github.io/azure-threat-research-matrix/credentialaccess/azt601/azt601-3/
[8] https://auth0.com/blog/how-to-validate-jwt-dotnet/