Développer selon les principes de la Confiance Zéro

Cet article vous aide, en tant que développeur, à comprendre les principes fondamentaux de Zero Trust afin que vous puissiez améliorer la sécurité de votre application. Vous jouez un rôle clé dans la sécurité organisationnelle. Les applications et leurs développeurs ne peuvent plus supposer que le périmètre du réseau est sécurisé. Les applications compromises peuvent affecter l’ensemble de l’organisation.

Les organisations déploient de nouveaux modèles de sécurité qui s’adaptent aux environnements modernes complexes et adoptent la main-d’œuvre mobile. Les nouveaux modèles protègent les personnes, les appareils, les applications et les données où qu’ils se trouvent. Les organisations s’efforcent d’atteindre la confiance zéro, une stratégie de sécurité et une approche pour la conception et l’implémentation d’applications qui suivent ces principes directeurs :

• Vérifier explicitement
• Utiliser l’accès au privilège minimum
• Supposer une violation

Au lieu de croire que tout ce qui se trouve derrière le pare-feu de l’entreprise est sûr, le modèle Confiance Zéro part du principe qu’une violation est possible et vérifie chaque demande comme si elle provenait d’un réseau non contrôlé. Quel que soit l’endroit où la demande provient ou quelle ressource il accède, le modèle Confiance Zéro nous oblige à ne jamais faire confiance, toujours vérifier.

Comprenez que la confiance zéro n’est pas un remplacement des principes fondamentaux de la sécurité. Avec le travail provenant de n’importe où sur n’importe quel appareil, concevez vos applications pour incorporer des principes confiance Zéro tout au long de votre cycle de développement.

Pourquoi développer avec une perspective confiance zéro ?

• Nous voyons une augmentation du niveau de sophistication des attaques de cybersécurité.
• Le travail de n’importe où a redéfini le périmètre de sécurité. Les données sont accessibles en dehors du réseau d’entreprise et partagées avec des collaborateurs externes tels que des partenaires et des fournisseurs.
• Les applications et données d’entreprise passent d’un environnement local à des environnements hybrides et cloud. Il n'est plus possible de compter sur les contrôles réseau traditionnels pour la sécurité. Les contrôles doivent se déplacer vers l’emplacement où résident les données sur les appareils et dans les applications.

Les conseils de développement de cette section vous aident à renforcer la sécurité, à réduire le rayon d’explosion d’un incident de sécurité et à récupérer rapidement avec la technologie Microsoft.

Vue d’ensemble des conseils pour les développeurs

• Qu’est-ce que nous entendons par la conformité confiance zéro ? fournit une vue d’ensemble de la sécurité des applications du point de vue d’un développeur pour répondre aux principes fondamentaux de Confiance Zéro.
• Utilisez les meilleures pratiques de développement de la gestion des identités et des accès Confiance Zéro dans votre cycle de développement d'applications pour créer des applications sécurisées.
• Les méthodologies de développement basées sur des normes fournissent une vue d’ensemble des normes prises en charge et de leurs avantages.
• Les responsabilités des développeurs et des administrateurs pour l’inscription, l’autorisation et l’accès aux applications vous aident à mieux collaborer avec vos professionnels de l’informatique.

Autorisations et accès

• Générer des applications qui sécurisent l’identité via les autorisations et le consentement fournit une vue d’ensemble des autorisations et des meilleures pratiques d’accès.
• Intégrer des applications à l’ID Microsoft Entra et à la plateforme d’identités Microsoft permet aux développeurs de créer et d’intégrer des applications que les professionnels de l’informatique peuvent sécuriser dans l’entreprise.
• Inscrire des applications présente aux développeurs le processus d’inscription des applications et ses exigences. Il les aide à s'assurer que les applications respectent les principes du modèle Zero Trust, en utilisant un accès avec des privilèges minimaux et en partant du principe qu'une violation s'est produite.
• Les types d’identité et de compte pris en charge pour les applications monolocataires expliquent comment choisir si votre application autorise uniquement les utilisateurs de votre locataire Microsoft Entra, n’importe quel locataire Microsoft Entra ou les utilisateurs disposant de comptes Microsoft personnels.
• L’authentification des utilisateurs pour Zero Trust permet aux développeurs d’apprendre les meilleures pratiques pour authentifier les utilisateurs d’applications dans le développement d’applications Confiance Zéro. Il décrit comment améliorer la sécurité des applications en appliquant les principes de Zero Trust, notamment le moindre privilège et la vérification explicite.
• Acquérir l’autorisation d’accéder aux ressources vous aide à comprendre comment garantir la confiance zéro lors de l’acquisition des autorisations d’accès aux ressources pour votre application.
• Développer une stratégie d’autorisations déléguées vous aide à implémenter la meilleure approche pour gérer les autorisations dans votre application et à développer avec des principes de confiance Zéro.
• Développer une stratégie d’autorisations d’application vous aide à décider de votre approche en matière d’autorisations d’application pour la gestion des informations d’identification.
• Demander des autorisations qui nécessitent un consentement administratif décrit l’autorisation et l’expérience de consentement lorsque les autorisations d’application nécessitent un consentement administratif.
• Réduire les autorisations et applications privilégiées vous aide à limiter les privilèges pour gérer l’accès et améliorer la sécurité.
• Fournissez les informations d’identification de l'application lorsqu’il n’y a pas d’utilisateur pour expliquer les meilleures pratiques des identités managées pour les ressources Azure (applications sans utilisateur).
• Gérer les jetons de confiance zéro permet aux développeurs de créer une sécurité dans des applications avec des jetons d’ID, des jetons d’accès et des jetons de sécurité qu’ils peuvent recevoir à partir de la plateforme d’identités Microsoft.
• Personnaliser les jetons décrit les informations que vous pouvez recevoir dans des jetons Microsoft Entra et la façon dont vous pouvez les personnaliser.
• Les applications sécurisées avec l’évaluation d’accès continu permettent aux développeurs d’améliorer la sécurité des applications avec l’évaluation continue de l’accès. Découvrez comment garantir la prise en charge de Zero Trust dans vos applications qui reçoivent l'autorisation d'accéder aux ressources lorsqu'elles obtiennent des jetons d'accès à partir de Microsoft Entra ID.
• Configurer des revendications de groupe et des rôles d’application dans des jetons vous montre comment configurer vos applications avec des définitions de rôles d’application et affecter des groupes de sécurité.
• API Protection décrit les meilleures pratiques pour protéger votre API par le biais de l'enregistrement, de la définition des autorisations et du consentement, et de l'application de l'accès pour atteindre vos objectifs de confiance zéro.
• Exemple d'API protégée par le cadre de consentement d’identité Microsoft vous aide à concevoir des stratégies de permissions d'application à moindre privilège pour une meilleure expérience utilisateur.
• Appeler une API à partir d’une autre API vous aide à garantir la confiance zéro lorsque vous avez une API qui doit appeler une autre API. Vous apprenez à développer en toute sécurité votre application lorsqu’elle fonctionne pour le compte d’un utilisateur.
• Les meilleures pratiques d’autorisation vous aident à implémenter les modèles d’autorisation, d’autorisation et de consentement les mieux adaptés à vos applications.

Confiance zéro DevSecOps

• Les environnements DevOps sécurisés pour Confiance Zéro décrivent les meilleures pratiques pour sécuriser vos environnements DevOps.
• Sécuriser l’environnement de la plateforme DevOps vous aide à implémenter des principes de confiance zéro dans votre environnement de plateforme DevOps et met en évidence les meilleures pratiques pour la gestion des secrets et des certificats.
• Sécuriser l’environnement de développement vous aide à implémenter les principes de la Confiance Zéro dans vos environnements de développement avec les meilleures pratiques pour des privilèges minimum, la sécurité des branches et les outils, extensions et intégrations de confiance.
• Incorporer la sécurité Confiance Zéro dans votre workflow de développeur vous aide à innover rapidement et en toute sécurité.

Plus de documentation confiance zéro

Référencez le contenu confiance zéro suivant en fonction de l’ensemble de documentation ou des rôles de votre organisation.

Ensemble de documentation

Suivez ce tableau pour obtenir les meilleurs ensembles de documentation Confiance Zéro pour vos besoins.

Votre rôle

Suivez ce tableau pour obtenir les meilleurs ensembles de documentation pour votre rôle dans votre organisation.