Mejores prácticas de desarrollo de gestión de identidades y accesos de Zero Trust

Este artículo le ayuda, como desarrollador, a comprender los procedimientos recomendados de administración de identidades y acceso para el ciclo de vida de desarrollo de aplicaciones. Empieza a desarrollar aplicaciones seguras compatibles con Zero Trust con la administración de identidades y acceso (IAM).

El marco de seguridad Zero Trust utiliza los principios de verificación explícita, acceso con privilegios mínimos y asumiendo que se ha producido una violación. Proteja los usuarios y los datos al tiempo que permite escenarios comunes, como el acceso a aplicaciones desde fuera del perímetro de red. Reduzca la dependencia de la confianza implícita a las interacciones detrás de un perímetro de red seguro que pueda ser vulnerable a los ataques de seguridad.

Las tendencias de seguridad del sector afectan a los requisitos de la aplicación

Aunque la implementación de Confianza cero sigue evolucionando, el recorrido de cada organización es único. A menudo comienza con la identidad de usuario y aplicación. Estas son directivas y controles que muchas organizaciones priorizan a medida que implementan Confianza cero:

• Implementar directivas de higiene y rotación de credenciales para aplicaciones y servicios. Cuando los actores malintencionados comprometen secretos como certificados o contraseñas, pueden lograr un nivel de acceso al sistema para adquirir tokens bajo la identidad de una aplicación. A continuación, acceden a datos confidenciales, se mueven lateralmente y establecen la persistencia.
• Implemente la autenticación segura. Los administradores de TI configuran directivas que requieren autenticación multifactor y dispositivos FIDO2 sin contraseña.
• Restrinja el consentimiento del usuario a las aplicaciones con permisos de bajo riesgo para las aplicaciones de publicador verificadas. El acceso a los datos de las API como Microsoft Graph le permite crear aplicaciones enriquecidas. Las organizaciones y los clientes evalúan las solicitudes de permisos y la confiabilidad de la aplicación antes de conceder el consentimiento. Los administradores de TI están adoptando el principio de comprobación explícitamente al requerir la comprobación del publicador. Aplican el principio de privilegios mínimos solo permitiendo el consentimiento del usuario para permisos de bajo riesgo.
• Bloquear protocolos y API heredados. Los administradores de TI bloquean protocolos de autenticación anteriores, como "autenticación básica" y requieren protocolos modernos como OpenID Connect y OAuth2.

Uso de bibliotecas de autenticación basadas en estándares y de confianza

Para aumentar la portabilidad y la seguridad de las aplicaciones, desarrolle la aplicación con estándares y bibliotecas conocidos y aceptados. Las bibliotecas de autenticación basadas en estándares confiables se mantienen actualizadas para que tus aplicaciones sean receptivas a las tecnologías y amenazas más recientes. Las metodologías de desarrollo basadas en estándares proporcionan información general sobre los estándares admitidos y sus ventajas.

En lugar de usar protocolos con vulnerabilidades conocidas y documentación extensa, desarrolle la aplicación con bibliotecas como biblioteca de autenticación de Microsoft (MSAL), biblioteca de autenticación web de identidad de Microsoft y kits de desarrollo de software (SDK) de Azure. MSAL y Kits de desarrolladores de software (SDK) permiten usar estas características sin necesidad de escribir código adicional:

• Acceso condicional
• Registro y administración de dispositivos
• Autenticación sin contraseña y FIDO2

MSAL y Microsoft Graph son las mejores opciones para desarrollar aplicaciones de Microsoft Entra. Los desarrolladores de MSAL garantizan el cumplimiento de los protocolos. Microsoft optimiza MSAL para la eficacia cuando se trabaja directamente con Microsoft Entra ID.

Registrar las aplicaciones en el identificador de Microsoft Entra

Siga los Procedimientos recomendados de seguridad para las propiedades de la aplicación en Microsoft Entra ID. El registro de aplicaciones en Microsoft Entra ID es fundamental, ya que una configuración incorrecta o la falta de mantenimiento adecuado de la aplicación pueden provocar tiempo de inactividad o vulnerabilidad.

Las propiedades de la aplicación que mejoran la seguridad incluyen el URI de redirección, los tokens de acceso (nunca se usan con flujos implícitos), los certificados y los secretos, el URI del identificador de aplicación y la propiedad de la aplicación. Realice evaluaciones periódicas de seguridad y estado similares a las evaluaciones del modelo de amenazas de seguridad para el código.

Delegación de la administración de identidades y acceso

Desarrolle la aplicación para usar tokens para la comprobación explícita de identidades y el control de acceso que definen y administran los clientes. Microsoft desaconseja desarrollar sus propios sistemas de administración de nombres de usuario y contraseñas.

Mantenga las credenciales fuera del código para que los administradores de TI puedan rotar las credenciales sin bajar ni volver a implementar la aplicación. Use un servicio como Azure Key Vault o Identidades administradas de Azure para delegar IAM.

Planear y diseñar para el acceso con privilegios mínimos

Un principio clave de Confianza cero es el acceso con privilegios mínimos. Desarrolle y documente lo suficiente la aplicación para que los clientes puedan configurar correctamente directivas con privilegios mínimos. Al admitir tokens y API, proporcione a los clientes una buena documentación de los recursos a los que llama la aplicación.

Proporcione siempre los privilegios mínimos necesarios para que el usuario realice tareas específicas. Por ejemplo, use ámbitos pormenorizados en Microsoft Graph.

Explore los ámbitos del Explorador de Graph para llamar a una API y examinar los permisos necesarios. Se muestran en orden de privilegios más bajos a más altos. La selección del privilegio más bajo posible garantiza que la aplicación sea menos vulnerable a los ataques.

Para reducir la vulnerabilidad de la aplicación y el radio de explosión en caso de una vulneración de seguridad, siga las instrucciones en Mejore la seguridad con el principio de privilegios mínimos.

Administración segura de tokens

Cuando tu aplicación solicite tokens de Microsoft Entra ID, adminístralos de manera segura.

• Valide que están debidamente delimitados a su aplicación.
• Almacenarlos en caché correctamente.
• Úselos según lo previsto.
• Controle los problemas de token comprobando las clases de error y codificando las respuestas adecuadas.
• En lugar de leer directamente los tokens de acceso, revise sus alcances y detalles en las respuestas de los tokens.

Compatibilidad con la evaluación continua de acceso (CAE)

La evaluación continua de acceso (CAE) permite a Microsoft Graph denegar rápidamente el acceso en respuesta a eventos de seguridad. Entre los ejemplos se incluyen estas actividades de administrador de inquilinos:

• Elimine o deshabilite una cuenta de usuario.
• Habilite la autenticación multifactor (MFA) para un usuario.
• Revoque explícitamente los tokens emitidos por un usuario.
• Detecte un usuario que pase al estado de alto riesgo.

Cuando se admite CAE, los tokens que emite el identificador de Entra de Microsoft para llamar a Microsoft Graph son válidos durante 24 horas en lugar del estándar de 60 a 90 minutos. CAE agrega resistencia a la aplicación al permitir que MSAL actualice de forma proactiva el token antes de que expire el token.

Definición de roles de aplicación para que TI asigne a usuarios y grupos

Los roles de aplicación le ayudan a implementar el control de acceso basado en roles en las aplicaciones. Entre los ejemplos comunes de roles de aplicación se incluyen Administrador, Lector y Colaborador. El control de acceso basado en rol permite a la aplicación restringir las acciones confidenciales a los usuarios o grupos en función de sus roles definidos.

Convertirse en publicador verificado

Como publicador comprobado, compruebe su identidad con su cuenta de Microsoft Partner Network y complete el proceso de comprobación establecido. Para los desarrolladores de aplicaciones multiinquilino, ser un publicador comprobado ayuda a crear confianza con los administradores de TI en los inquilinos del cliente.

Pasos siguientes

• Personalizar tokens describe la información que puede recibir en tokens de Microsoft Entra. Aprenda a personalizar tokens para mejorar la flexibilidad y el control, al tiempo que aumenta la seguridad de confianza cero de la aplicación con privilegios mínimos.
• Configurar reclamaciones de grupo y roles de aplicación en tokens describe cómo configurar tus aplicaciones utilizando definiciones de roles de aplicación y asignar grupos de seguridad a roles de aplicación. Este enfoque mejora la flexibilidad y el control, al tiempo que aumenta la seguridad de confianza cero con privilegios mínimos.
• Creación de aplicaciones con un enfoque de confianza cero para la identidad proporciona información general sobre los permisos y los procedimientos recomendados de acceso.
• En la guía de integraciones de identidad se explica cómo integrar soluciones de seguridad con productos de Microsoft para crear soluciones de Confianza cero.
• Las responsabilidades de desarrollador y administrador para el registro, autorización y acceso de aplicaciones le ayudan a colaborar mejor con sus profesionales de TI.
• Los tipos de identidad y cuenta admitidos para aplicaciones únicas y multiinquilino explican cómo puede elegir si la aplicación solo permite a los usuarios del inquilino de Microsoft Entra), cualquier inquilino de Microsoft Entra o usuarios con cuentas personales de Microsoft.
• Procedimientos recomendados de autorización le ayuda a implementar los mejores modelos de autorización, permisos y consentimiento para las aplicaciones.
• En el artículo Protección de API se describen los procedimientos recomendados para proteger la API mediante su registro, la definición de permisos y del consentimiento, y la aplicación del acceso para lograr los objetivos de confianza cero.