Отказ от паролей: зачем вашим облачным приложениям управляемые удостоверения

By Mirko Peters · 2026-08-27

Добро пожаловать обратно в блог-сопровождение к подкасту! В современном цифровом ландшафте безопасность имеет первостепенное значение, однако многие организации по-прежнему полагаются на устаревшие методы аутентификации…

Automatically translated with AI from the original post. Read the English original

Добро пожаловать обратно в блог-сопровождение к подкасту! В современном цифровом ландшафте безопасность имеет первостепенное значение, однако многие организации по-прежнему полагаются на устаревшие методы аутентификации. Если вы когда-либо встраивали пароль от базы данных прямо в файл конфигурации или жёстко прописывали ключ API в исходном коде, вы сами напрашиваетесь на неприятности. Многие годы стандартный подход к облачной архитектуре заключался в том, что сервису задавали очень опасный вопрос: «Что у вас есть?» Приложениям выдавали долгоживущие секреты, строки подключения и административные пароли, полагаясь на то, что их сохранят в закрытых репозиториях или хранилищах конфигурации. Но поскольку утечки безопасности продолжают доминировать в заголовках новостей, пришло время для фундаментального смены парадигмы. Нужно перестать спрашивать сервисы, что у них есть, и начать задавать им гораздо более безопасный вопрос: «Кто вы?»

В этом материале мы подробно разбираем мир управляемых удостоверений и выясняем, как они устраняют необходимость в традиционных секретах, существенно сокращают поверхность атаки вашего приложения и меняют то, как облачные приложения проходят аутентификацию. Управляете ли вы виртуальными машинами, Azure Functions или сложными многоуровневыми архитектурами, понимание управляемых удостоверений больше не является необязательным — это критически важное требование современной облачной безопасности.

Если вы предпочитаете слушать технические обзоры на ходу, обязательно послушайте связанный эпизод подкаста Managed Identities - Simply Explained, где мы простым языком разбираем эти концепции и рассказываем, почему они важны для Microsoft 365, Azure, Power Platform, безопасности, ИИ и современной работы.

Обзор управляемых удостоверений

Управляемые удостоверения играют ключевую роль в Azure, предоставляя безопасный и эффективный способ аутентификации приложений. Они устраняют необходимость в традиционных секретах, таких как пароли и ключи API, которые часто создают риски для безопасности. Используя управляемые удостоверения, вы можете сосредоточиться на создании приложений, не неся бремени управления конфиденциальной информацией.

Типы управляемых удостоверений

Azure предлагает два основных типа управляемых удостоверений: назначаемые системой и назначаемые пользователем. Каждый тип служит своей цели и обладает уникальными преимуществами.

Значение отказа от традиционных секретов невозможно переоценить. По мере того как атаки на скомпрометированные учётные данные становятся всё более изощрёнными, организации должны уделять приоритетное внимание безопасному управлению учётными данными. Вот несколько ключевых выводов:

Переход на управляемые удостоверения позволяет существенно снизить риск раскрытия учётных данных. Этот подход не только повышает безопасность, но и упрощает процесс разработки. Вам больше не нужно беспокоиться о ротации секретов или о встраивании конфиденциальной информации в код.

Внедрение управляемых удостоверений позволяет создать более безопасную и эффективную облачную среду. Двигаясь дальше с вашими приложениями Azure, рассмотрите возможность использования этой мощной функции для оптимизации процессов аутентификации.

Как работают управляемые удостоверения

Процесс аутентификации

Управляемые удостоверения упрощают процесс аутентификации для рабочих нагрузок Azure. Они автоматически предоставляют ресурсам Azure управляемые удостоверения для аутентификации в службах, которые поддерживают аутентификацию через Microsoft Entra ID. Благодаря этому не нужно хранить секреты в коде, что существенно сокращает поверхность атаки. Ваши ресурсы могут безопасно запрашивать токены доступа у Azure, не храня никаких секретов.

Обычно процесс аутентификации выглядит так:

1. Войдите на портал Azure.
2. В левой панели навигации нажмите Virtual machines.
3. Найдите виртуальную машину, на которой установлено управляемое удостоверение.
4. Нажмите имя виртуальной машины и перейдите на вкладку Identity.
5. Включите управляемое удостоверение: нажмите On, а затем Save.

После включения управляемых удостоверений ваши приложения смогут проходить аутентификацию без лишних шагов. Например, внешнее приложение может получить действительный токен Azure AD, предназначенный для Azure Function. Azure Function, защищённая с помощью Azure AD, проверяет полученный токен. Затем она использует свое управляемое удостоверение для доступа к другой службе Azure. Так обеспечивается безопасное взаимодействие без раскрытия конфиденциальных учётных данных.

Интеграция со службами Azure

Управляемые удостоверения легко интегрируются с различными службами Azure, повышая безопасность и упрощая администрирование. Среди наиболее часто интегрируемых служб:

• Azure Data Factory
• Azure Service Bus
• Azure File Sync

Такие интеграции позволяют проходить аутентификацию и управлять доступом к службам Azure без жёстко заданных учётных данных. Этот подход не только повышает безопасность, но и упрощает процесс разработки.

Чтобы интегрировать управляемые удостоверения со службами Azure, необходимо выполнить определённые требования:

• Необходима подписка Azure с правами на создание учётных записей хранения и назначение ролей Azure RBAC.
• Обязательно наличие разрешения на запись назначений ролей (Microsoft.Authorization/roleAssignments/write) на нужной области.
• Клиенты, которым нужна аутентификация с помощью управляемого удостоверения, не должны быть присоединены ни к одному домену.
• Свойство SMBOAuth должно быть включено в учётной записи хранения, содержащей общую папку Azure.

Следуя этим рекомендациям, вы сможете эффективно использовать управляемые удостоверения. Они представляют собой надёжное решение для аутентификации, позволяя сосредоточиться на создании приложений, а не на управлении секретами.

Преимущества управляемых удостоверений

Повышенная безопасность

Управляемые удостоверения существенно повышают безопасность ваших приложений. Отказ от жёстко заданных учётных данных снижает риск их кражи. Такой подход упрощает управление удостоверениями и поддерживает принципы Zero Trust. Вот некоторые ключевые функции безопасности:

Используя управляемые удостоверения, размещённые в Azure приложения могут не встраивать учётные данные в код. Это существенно снижает риск утечки и упрощает управление доступом.

Упрощённое управление учётными данными

С управляемыми удостоверениями больше не нужно беспокоиться о хранении жёстко заданных учётных данных. Эта функция повышает безопасность и снижает операционную сложность. Вот несколько способов, которыми управляемые удостоверения упрощают управление учётными данными:

Управляемые удостоверения автоматизируют управление учётными данными: вам не нужно создавать, обновлять или отзывать их вручную. Такая автоматизация существенно снижает риск человеческой ошибки. Вы можете сосредоточиться на разработке, а не на управлении безопасностью.

Экономическая эффективность

Использование управляемых удостоверений может привести к существенной экономии в облачных средах. Вот как они влияют на операционные расходы:

• Решения Cloud IAM помогают сократить капитальные затраты (CapEx), поскольку исключают необходимость в локальных серверах и программном обеспечении.
• Они обеспечивают более предсказуемые операционные расходы (OpEx) благодаря подписочной модели ценообразования.
• Автоматизация задач по предоставлению доступа и управлению им снижает трудозатраты и позволяет ИТ-командам сосредоточиться на более важных задачах.

Используя управляемые удостоверения, вы не только повышаете безопасность и упрощаете управление учетными данными, но и повышаете общую экономическую эффективность. Благодаря этому управляемые удостоверения становятся ценным инструментом для любой организации, которая стремится оптимизировать работу в облаке.

Распространенные сценарии использования управляемых удостоверений

Доступ к ресурсам Azure

Управляемые удостоверения упрощают доступ к ресурсам Azure. Они позволяют вашим приложениям проходить аутентификацию в других службах Azure без лишних хлопот с ручным управлением учетными данными. Такой подход заметно снижает риски безопасности, связанные с хранением и обработкой секретов. Вот ключевые преимущества использования управляемых удостоверений для доступа к ресурсам Azure:

• Вы можете получать маркеры Microsoft Entra без управления учетными данными.
• Управляемые удостоверения исключают необходимость хранить учетные данные в ваших приложениях.
• Azure автоматически создает удостоверение для вашего ресурса и регистрирует его в Microsoft Entra ID.
• Разрешения можно назначать с помощью Azure RBAC, что обеспечивает безопасный доступ без хранения секретов.

Чтобы использовать управляемые удостоверения для доступа к ресурсам Azure, выполните следующие действия:

1. Откройте портал Azure и перейдите к ресурсу, которому требуется доступ для удостоверения.
2. Выберите «Политики доступа» на боковой панели ресурса.
3. Нажмите «Создать», чтобы открыть панель «Создание политики доступа».
4. Выберите необходимые разрешения для управляемого удостоверения.
5. Нажмите «Далее», чтобы продолжить.
6. На вкладке «Субъект» выберите управляемое удостоверение.
7. Завершите процесс, нажав «Далее», и создайте политику доступа.
8. Пройдите аутентификацию для триггера или действия с помощью управляемого удостоверения.

Выполнив эти шаги, вы обеспечите безопасный доступ ваших приложений к ресурсам Azure без необходимости управлять конфиденциальными учетными данными.

Взаимодействие между приложениями

Управляемые удостоверения также повышают эффективность взаимодействия между приложениями в облачной среде. Они позволяют вашим приложениям проходить аутентификацию в ресурсах Azure без работы с конфиденциальными учетными данными. Такой подход упрощает процесс аутентификации и существенно повышает безопасность, устраняя риски, связанные с управлением учетными данными.

Когда ваши приложения обмениваются данными между собой, управляемые удостоверения гарантируют, что это происходит безопасно. Это означает, что вы можете сосредоточиться на создании надежных приложений, не беспокоясь о раскрытии конфиденциальной информации. Используя управляемые удостоверения, вы создаете более безопасную и эффективную среду для взаимодействия ваших приложений.

Внедрение управляемых удостоверений

Внедрение управляемых удостоверений в вашу среду Azure может заметно повысить безопасность и упростить аутентификацию. Следуйте этому пошаговому руководству, чтобы настроить управляемые удостоверения и эффективно задать права доступа.

Пошаговое руководство

Настройка управляемых удостоверений

1. Войдите на портал Azure: начните с входа в свою учетную запись Azure.
2. Выберите ресурс: перейдите к ресурсу Azure, для которого нужно включить управляемое удостоверение.
3. Включите управляемое удостоверение:
   • Перейдите в раздел Удостоверение в параметрах ресурса.
   • Переключите Состояние в положение Вкл. и нажмите Сохранить.
4. Проверьте создание удостоверения: после сохранения Azure автоматически создаст управляемое удостоверение для вашего ресурса. Его можно просмотреть в Microsoft Entra ID.

Выполнив эти шаги, вы гарантируете, что ваш ресурс сможет безопасно проходить аутентификацию без необходимости управлять секретами.

Настройка разрешений доступа

После настройки управляемого удостоверения необходимо задать разрешения доступа. Вот несколько рекомендаций, которые стоит соблюдать:

1. Применяйте принцип наименьших привилегий: предоставляйте только минимально необходимые разрешения для выполнения задач удостоверения. Такой подход снижает риски безопасности.
2. Используйте детализированные роли: вместо широких ролей применяйте конкретные роли, чтобы эффективно ограничить доступ. Этот метод повышает безопасность, поскольку удостоверения получают только те разрешения, которые им действительно нужны.
3. Ограничивайте область действия разрешений: назначайте роли на уровне ресурса, а не на более широких уровнях. Так проще сохранять более строгий контроль над доступом.

Совет: Управляемые удостоверения, назначаемые пользователем, позволяют централизованно управлять разрешениями для нескольких ресурсов. Эта возможность упрощает назначение ролей RBAC: одно удостоверение привязывается к разным ресурсам.

При внедрении управляемых удостоверений могут возникнуть типичные трудности. Например, пользователи часто забывают назначить необходимые разрешения после создания управляемого удостоверения, назначаемого системой, и это приводит к сбоям аутентификации. Кроме того, при добавлении управляемого удостоверения, назначаемого пользователем, в учётную запись Automation могут возникнуть проблемы с назначением удостоверения из-за недостаточных разрешений. Сбои аутентификации также возможны, если удостоверение не включено перед использованием.

Чтобы обеспечить соответствие требованиям и безопасность при внедрении, рассмотрите решения для управления идентификацией и доступом (Identity Governance and Administration, IGA). IGA даёт представление о доступе пользователей, помогает снижать риски и предотвращать несанкционированный доступ. Регулярная сертификация прав доступа и внедрение политик разделения обязанностей (Separation of Duties, SoD) могут дополнительно повысить уровень безопасности.

Следуя этим рекомендациям, вы сможете эффективно внедрить управляемые удостоверения в своей среде Azure и обеспечить безопасную и эффективную аутентификацию для ваших приложений.

Управляемые удостоверения играют важную роль в повышении безопасности и упрощении разработки приложений. Избавляясь от необходимости вручную управлять учётными данными, вы можете сосредоточиться на создании надёжных приложений. Вот несколько ключевых преимуществ использования управляемых удостоверений:

• Не нужно управлять учётными данными, так как к ним не имеют доступа разработчики.
• Повышенная безопасность за счёт снижения риска утечки секретов.
• Бесшовная аутентификация со службами Azure без ручного вмешательства.
• Экономически эффективное решение, доступное без дополнительной оплаты.

Размышляя о своих облачных проектах, подумайте о внедрении управляемых удостоверений. Они могут существенно повысить эффективность и безопасность ваших приложений, открывая путь к более рациональному процессу разработки.

Часто задаваемые вопросы

Что такое управляемые удостоверения в Azure?

Управляемые удостоверения предоставляют удостоверение для ресурсов Azure. Они позволяют приложениям проходить аутентификацию в службах Azure без управления секретами, такими как пароли или ключи API.

Как включить управляемые удостоверения?

Включить управляемые удостоверения можно на портале Azure. Перейдите к нужному ресурсу, откройте раздел «Удостоверение», переключите состояние в положение «Вкл.» и сохраните изменения.

Насколько безопасны управляемые удостоверения?

Да, управляемые удостоверения повышают безопасность, исключая жёстко заданные учётные данные. Они автоматически управляют жизненным циклом удостоверений, что снижает риск кражи учётных данных.

Можно ли использовать управляемые удостоверения с локальными приложениями?

Управляемые удостоверения в первую очередь работают с ресурсами Azure. Для локальных приложений рассмотрите использование Microsoft Entra ID для аутентификации.

В чём разница между удостоверениями, назначаемыми системой, и назначаемыми пользователем?

Удостоверения, назначаемые системой, привязаны к одному ресурсу Azure и удаляются вместе с ним. Удостоверения, назначаемые пользователем, существуют отдельно и могут использоваться несколькими ресурсами.

Есть ли дополнительные расходы на управляемые удостоверения?

Нет, управляемые удостоверения в Azure бесплатны. Вы платите только за ресурсы Azure, которые их используют.

Как назначить разрешения управляемому удостоверению?

Разрешения можно назначить с помощью управления доступом на основе ролей Azure (Azure RBAC). Перейдите к ресурсу, выберите «Политики доступа» и назначьте управляемому удостоверению необходимые роли.

Можно ли использовать управляемые удостоверения для Azure Functions?

Да, Azure Functions могут использовать управляемые удостоверения для безопасной аутентификации в других службах Azure без необходимости управлять секретами.

🎧 Слушайте этот эпизод

Хотите практичное объяснение управляемых удостоверений? В этом эпизоде тема разбирается понятным языком, и показано, почему она важна для Microsoft 365, Azure, Power Platform, безопасности, ИИ и современной работы.

Слушайте этот эпизод, если вы хотите:

• Понять ключевые концепции, лежащие в основе управляемых удостоверений
• Увидеть, как они вписываются в более широкую экосистему технологий Microsoft
• Узнать, где они могут принести практическую пользу вашей организации

Вам также могут понравиться эти связанные эпизоды M365 FM:

• Azure Managed Disks — простое объяснение
• Managed Environments в Power Platform требуют практик Pro-Dev
• Используйте управляемую идентификацию с PowerShell для Microsoft Graph
• Перейдите на управляемую идентификацию в Azure File Sync
• Замените сервисные учётные записи на рабочие нагрузки Entra

Найдите больше практичных обсуждений Microsoft на M365 FM.