Considerações sobre a segurança para o acelerador de zona de destino do Gerenciamento de API

  • Artigo

Este artigo fornece considerações sobre design e recomendações de segurança ao usar o acelerador de zona de destino do Gerenciamento de API. A segurança aborda vários aspectos, incluindo proteger as APIs de front-end, proteger os back-ends e proteger o portal do desenvolvedor.

Saiba mais sobre a área de design de segurança.

Considerações sobre o design

  • Considere como você deseja proteger as APIs de front-end, além de usar chaves de assinatura. OAuth 2.0, OpenID Connect e TLS mútuo são opções comuns com suporte interno.
  • Pense em como você deseja proteger os serviços de back-end do Gerenciamento de API. Certificados do cliente e OAuth 2.0 são duas opções com suporte.
  • Considere quais protocolos e criptografias de cliente e de back-end são necessários para atender aos requisitos de segurança.
  • Considere as políticas de validação do Gerenciamento de API para validar solicitações e respostas de API REST ou SOAP em relação a esquemas definidos na definição de API ou carregados na instância. Essas políticas não substituem um Firewall de Aplicativo Web, mas podem fornecer proteção adicional contra algumas ameaças.

    Observação

    Adicionar políticas de validação pode ter implicações de desempenho. Portanto, é recomendável realizar testes de carga de desempenho para avaliar o impacto na taxa de transferência da API.

  • Considere quais provedores de identidade além do Microsoft Entra ID precisam ser suportados.

Recomendações sobre design

  • Implante um WAF (Firewall de Aplicativo Web) no front-end de Gerenciamento de API, para proteger contra as explorações e vulnerabilidades comuns de aplicativos Web.
  • Use o Azure Key Vault para armazenar e gerenciar segredos com segurança e disponibilizá-los por meio de valores nomeados no Gerenciamento de API.
  • Crie uma identidade gerenciada atribuída pelo sistema no Gerenciamento de API para estabelecer relações de confiança entre o serviço e outros recursos protegidos pelo Microsoft Entra ID, incluindo o Cofre de Chaves e os serviços de back-end.
  • As APIs só devem ser acessíveis por HTTPS para proteger os dados em trânsito e garantir a integridade dos dados.
  • Use a versão mais recente do TLS ao criptografar informações em trânsito. Desabilite protocolos e criptografias desatualizados e desnecessários, quando possível.

Suposições de escala empresarial

Estas são as suposições que entraram no desenvolvimento do acelerador de zona de destino do Gerenciamento de API:

  • Configuração do Gateway de Aplicativo do Azure como WAF.
  • Proteção da instância do Gerenciamento de API em uma VNet que controla a conectividade interna e externa.

Próximas etapas