データ API ビルダー ソリューションをセキュリティで保護する

データ API ビルダーは、REST エンドポイントと GraphQL エンドポイントを介してデータを公開します。 API をセキュリティで保護するには、 認証 (呼び出し元)、 承認 (何ができるか)、 トランスポート セキュリティ (接続が保護されていますか?) という 3 つの主要な領域に注意する必要があります。

セキュリティの 3 つの柱

認証プロバイダーを選択する

データ API ビルダーでは、複数の認証プロバイダーがサポートされています。 デプロイ シナリオに一致するものを選択します。

認証

認証は、呼び出し元の ID を検証します。 データ API ビルダーは、JWT ベアラー トークン (EntraID/AzureAD、 Custom) を検証するか、プラットフォームによって提供される ID ヘッダー (AppService、 StaticWebApps) を信頼することで、要求を認証します。 Simulator は、開発用の外部検証をスキップします。

動作方法

1. JWT プロバイダーの場合、クライアントは ID プロバイダーからトークンを取得します
2. クライアントは、 Authorization: Bearer <token> ヘッダー (JWT プロバイダー) でトークンを送信するか、プラットフォームが ID ヘッダーを挿入します (EasyAuth/SWA)
3. データ API ビルダーがトークンまたはプラットフォーム ヘッダー (JWT プロバイダーの発行者、対象ユーザー、署名) を検証する
4. DAB は、トークンまたは ID ヘッダーからユーザーのロールを抽出します

クイック リファレンス

プロバイダー固有の構成については、このセクションの認証ガイドを参照してください。

認証

承認は、認証された (または匿名の) ユーザーが実行できる操作を決定します。 データ API ビルダーでは、ロールベースのアクセス制御 (RBAC) を使用して、エンティティとアクションへのアクセスを制限します。

動作方法

1. DAB は、トークンとヘッダーに基づいて要求にロールを割り当てます
2. DAB は、そのロールに対するエンティティのアクセス許可を検索します
3. 要求されたアクションに対するアクセス許可がロールに付与されている場合、DAB はクエリを実行します
4. そうでない場合、DAB は 403 Forbidden 応答を返します

システム ロールとユーザー ロール

デフォルトで安全が確保されています

エンティティには 、既定ではアクセス許可がありません。 アクセス権を明示的に付与する必要があります。

{
  "entities": {
    "Book": {
      "permissions": [
        { "role": "authenticated", "actions": ["read"] }
      ]
    }
  }
}

詳細な構成については、「 承認とロール」を参照してください。

行レベルおよびフィールドレベルのセキュリティ

きめ細かいアクセス制御を使用して、エンティティ レベルのアクセス許可を超えます。

ロールの継承

DAB 2.0 では、エンティティのアクセス許可にロールの継承が導入されています。 継承チェーンは named-role → authenticated → anonymous。 エンティティに対してロールが明示的に構成されていない場合は、次の広範なロールから継承されます。 anonymousに対してアクセス許可を 1 回定義すると、すべての広範なロールが同じアクセス権を取得します。 詳細については、「 ロールの継承」を参照してください。

トランスポートと構成のセキュリティ

トランスポート セキュリティ

• すべての接続に TLS を使用する: クライアントと DAB の間のトラフィックを暗号化する
• 従来の TLS バージョンを無効にする: TLS 1.2 以降のみに依存する
• HTTPS エンドポイントを使用する: 運用環境で暗号化されていない HTTP 経由で DAB を公開しない

詳細については、「 セキュリティのベスト プラクティス」を参照してください。

セキュリティ設定

• 環境変数にシークレットを格納する: 構成で @env('SECRET_NAME') を使用する
• Azure Key Vault の活用: シークレットを@azure('key-vault-uri')参照する
• シークレットをコミットしない: dab-config.json パスワードと接続文字列を使用しない

{
  "data-source": {
    "connection-string": "@env('SQL_CONNECTION_STRING')"
  }
}

監視と更新

• アクセスの監視: Application Insights を使用して要求を追跡し、異常を検出する
• ログの確認: 失敗した認証試行とアクセス許可拒否を確認する
• DAB を最新の状態に保つ: 最新バージョンにアップグレードしてセキュリティ パッチを適用する

クイック スタート ガイド

関連コンテンツ

• 認証されていないプロバイダーを構成する
• Microsoft Entra ID 認証を構成する
• 認可とロール
• セキュリティのベスト プラクティス
• ランタイム構成リファレンス