Считаются ли идентификаторы клиента Azure, URI арендатора и хранилища ключей секретными? - PullRequest
Новая
       14

Считаются ли идентификаторы клиента Azure, URI арендатора и хранилища ключей секретными?

3 голосов
/ 07 мая 2019

Я осваиваю Azure и пытаюсь следовать рекомендациям по обеспечению безопасности приложений WPF и Xamarin.Forms.

Я использую Azure AD для аутентификации и хранилище ключей для своих секретов.

А как насчет моих настроек Client Id и Tenant?Они необходимы для первоначального подключения к Azure для входа в систему.

URI конечной точки также требуется для вызова хранилища ключей.

Идентификатор клиента, арендатор, хранилище ключейКонечная точка считается секретом, или я над этим думаю.Я понимаю без аутентификации, никто не может получить доступ или использовать их.

А как насчет проверки их в Source Control?Это нормально?

Очень ценю ваши мысли и идеи.

Карл

1 Ответ

6 голосов
/ 07 мая 2019

TenantId вряд ли является секретом. Вы можете получить метаданные любого клиента Azure AD, используя следующий URL-адрес

.

https://login.microsoftonline.com/{tenantID/domain}/.well-known/openid-configuration

Например https://login.microsoftonline.com/microsoft.onmicrosoft.com/.well-known/openid-configuration

ClientId также перемещается в http URL и поэтому его не так сложно найти. Вот почему основное внимание должно быть уделено эффективной защите доступа к приложению с помощью проверки токена или назначения пользователя .

Управляемые удостоверения для ресурсов Azure доступна, чтобы помочь избежать проверки любых учетных данных в управлении исходным кодом, и особенно полезно с KeyVault.

...