安全框架：身份验证 | 缓解措施

考虑使用标准身份验证机制向 Web 应用程序进行身份验证

应用程序必须安全处理失败的身份验证方案

启用升级或自适应身份验证

确保适当锁定管理界面

安全实施忘记密码功能

确保实施密码和帐户策略

实施控制来防止用户名枚举

尽可能使用 Windows 身份验证连接到 SQL Server

尽可能使用 Microsoft Entra 身份验证连接到 SQL 数据库

使用 SQL 身份验证模式时，确保对 SQL Server 实施帐户和密码策略

不要在包含的数据库中使用 SQL 身份验证

结合 SaS 令牌使用每个设备的身份验证凭据

为 Azure 管理员启用 Microsoft Entra 多重身份验证

限制对 Service Fabric 群集的匿名访问

确保 Service Fabric 的客户端到节点证书不同于节点到节点证书

使用 Microsoft Entra ID 向 Service Fabric 群集进行客户端身份验证

确保从批准的证书颁发机构 (CA) 获取 Service Fabric 证书

使用标识服务器支持的标准身份验证方案

使用可缩放的替代方案覆盖默认的标识服务器令牌缓存

确保部署的应用程序的二进制文件经过数字签名

连接到 WCF 中的 MSMQ 队列时启用身份验证

示例

以下 WCF 配置文件中的 <netMsmqBinding/> 元素指示 WCF 在连接到用于消息传送的 MSMQ 队列时禁用身份验证。

<bindings>
    <netMsmqBinding>
        <binding>
            <security>
                <transport msmqAuthenticationMode=""None"" />
            </security>
        </binding>
    </netMsmqBinding>
</bindings>

请将 MSMQ 配置为要求随时针对任何传入或传出的消息执行 Windows 域或证书身份验证。

示例

以下 WCF 配置文件中的 <netMsmqBinding/> 元素指示 WCF 在连接到 MSMQ 队列时启用证书身份验证。 客户端使用 X.509 证书进行身份验证。 客户端证书必须在服务器的证书存储中存在。

<bindings>
    <netMsmqBinding>
        <binding>
            <security>
                <transport msmqAuthenticationMode=""Certificate"" />
            </security>
        </binding>
    </netMsmqBinding>
</bindings>

WCF - 不要将消息 clientCredentialType 设置为 none

示例

<message clientCredentialType=""Certificate""/>

WCF - 不要将传输 clientCredentialType 设置为 none

示例

<transport clientCredentialType=""Certificate""/>

确保使用标准身份验证技术保护 Web API

使用 Microsoft Entra ID 支持的标准身份验证方案

使用分布式缓存替代默认 MSAL 令牌缓存

确保使用 TokenReplayCache 防止 MSAL 身份验证令牌重放

示例

// ITokenReplayCache defined in MSAL
public interface ITokenReplayCache
{
bool TryAdd(string securityToken, DateTime expiresOn);
bool TryFind(string securityToken);
}

示例

下面是 ITokenReplayCache 接口的示例实现。 （请自定义并实现自己的特定于项目的缓存框架）

public class TokenReplayCache : ITokenReplayCache
{
    private readonly ICacheProvider cache; // Your project-specific cache provider
    public TokenReplayCache(ICacheProvider cache)
    {
        this.cache = cache;
    }
    public bool TryAdd(string securityToken, DateTime expiresOn)
    {
        if (this.cache.Get<string>(securityToken) == null)
        {
            this.cache.Set(securityToken, securityToken);
            return true;
        }
        return false;
    }
    public bool TryFind(string securityToken)
    {
        return this.cache.Get<string>(securityToken) != null;
    }
}

必须通过“TokenValidationParameters”属性在 OIDC 选项中引用实现的缓存，如下所示。

OpenIdConnectOptions openIdConnectOptions = new OpenIdConnectOptions
{
    AutomaticAuthenticate = true,
    ... // other configuration properties follow..
    TokenValidationParameters = new TokenValidationParameters
    {
        TokenReplayCache = new TokenReplayCache(/*Inject your cache provider*/);
    }
}

请注意，若要测试此配置的有效性，请登录到受 OIDC 保护的本地应用程序，并在 Fiddler 中捕获向 "/signin-oidc" 终结点发出的请求。 如果未实施保护，在 Fiddler 中重放此请求会设置一个新的会话 Cookie。 添加 TokenReplayCache 保护后重放请求时，应用程序将引发异常，如下所示：SecurityTokenReplayDetectedException: IDX10228: The securityToken has previously been validated, securityToken: 'eyJ0eXAiOiJKV1QiLCJhbGciOiJSUzI1NiIsIng1dCI6Ik1uQ19WWmNBVGZNNXBPWWlKSE1iYTlnb0VLWSIsImtpZCI6Ik1uQ1......

使用 MSAL 库来管理从 OAuth2 客户端发往 Microsoft Entra ID（或本地 AD）的令牌请求

MSAL 为你提供了许多获取令牌的方法，将一致的 API 用于许多平台。 无需针对应用程序中的协议直接使用 OAuth 库或代码，可以代表用户或应用程序获取令牌（如果适用于平台）。

MSAL 还维护令牌缓存，并在令牌即将过期时为你刷新令牌。 MSAL 还可以帮助你指定你希望应用程序登录时面向的受众，并帮助你从配置文件设置应用程序，以及对应用进行故障排除。

对连接到现场网关的设备进行身份验证

确保对连接到云网关的设备进行身份验证

| 步骤 |

• 泛型：使用传输层安全性 (TLS) 或 IPsec 对设备进行身份验证。 如果设备无法处理完全非对称加密，则基础结构应该支持在这些设备上使用预共享密钥 (PSK)。 利用 Microsoft Entra ID、OAuth。
• C#： 创建 DeviceClient 实例时，Create 方法默认创建使用 AMQP 协议来与 IoT 中心通信的 DeviceClient 实例。 要使用 HTTPS 协议，请使用 Create 方法的重写，它可以让你指定协议。 如果使用 HTTPS 协议，则还应在项目中添加 Microsoft.AspNet.WebApi.Client NuGet 包，以包含 System.Net.Http.Formatting 命名空间。

示例

static DeviceClient deviceClient;

static string deviceKey = "{device key}";
static string iotHubUri = "{iot hub hostname}";

var messageString = "{message in string format}";
var message = new Message(Encoding.ASCII.GetBytes(messageString));

deviceClient = DeviceClient.Create(iotHubUri, new DeviceAuthenticationWithRegistrySymmetricKey("myFirstDevice", deviceKey));

await deviceClient.SendEventAsync(message);

示例

Node.js：身份验证

对称密钥

• 在 Azure 上创建 IoT 中心
• 在设备标识注册表中创建条目

  var device = new iothub.Device(null);
  device.deviceId = <DeviceId >
  registry.create(device, function(err, deviceInfo, res) {})
  

• 创建模拟设备

  var clientFromConnectionString = require('azure-iot-device-amqp').clientFromConnectionString;
  var Message = require('azure-iot-device').Message;
  var connectionString = 'HostName=<HostName>DeviceId=<DeviceId>SharedAccessKey=<SharedAccessKey>';
  var client = clientFromConnectionString(connectionString);
  

  SAS 令牌

• 使用对称密钥时会在内部生成，但我们也可以显式生成并使用它
• 定义协议：var Http = require('azure-iot-device-http').Http;
• 创建 SAS 令牌：

  resourceUri = encodeURIComponent(resourceUri.toLowerCase()).toLowerCase();
  var deviceName = "<deviceName >";
  var expires = (Date.now() / 1000) + expiresInMins * 60;
  var toSign = resourceUri + '\n' + expires;
  // using crypto
  var decodedPassword = new Buffer(signingKey, 'base64').toString('binary');
  const hmac = crypto.createHmac('sha256', decodedPassword);
  hmac.update(toSign);
  var base64signature = hmac.digest('base64');
  var base64UriEncoded = encodeURIComponent(base64signature);
  // construct authorization string
  var token = "SharedAccessSignature sr=" + resourceUri + "%2fdevices%2f"+deviceName+"&sig="
  + base64UriEncoded + "&se=" + expires;
  if (policyName) token += "&skn="+policyName;
  return token;
  

• 使用 SAS 令牌建立连接：

  Client.fromSharedAccessSignature(sas, Http);
  

  证书

• 使用 OpenSSL 等任何工具生成自签名的 X509 证书，以便生成分别用于存储证书和密钥的 .cert 和 .key 文件
• 使用证书预配接受安全连接的设备。

  var connectionString = '<connectionString>';
  var registry = iothub.Registry.fromConnectionString(connectionString);
  var deviceJSON = {deviceId:"<deviceId>",
  authentication: {
      x509Thumbprint: {
      primaryThumbprint: "<PrimaryThumbprint>",
      secondaryThumbprint: "<SecondaryThumbprint>"
      }
  }}
  var device = deviceJSON;
  registry.create(device, function (err) {});
  

• 使用证书连接设备

  var Protocol = require('azure-iot-device-http').Http;
  var Client = require('azure-iot-device').Client;
  var connectionString = 'HostName=<HostName>DeviceId=<DeviceId>x509=true';
  var client = Client.fromConnectionString(connectionString, Protocol);
  var options = {
      key: fs.readFileSync('./key.pem', 'utf8'),
      cert: fs.readFileSync('./server.crt', 'utf8')
  };
  // Calling setOptions with the x509 certificate and key (and optionally, passphrase) will configure the client //transport to use x509 when connecting to IoT Hub
  client.setOptions(options);
  //call fn to execute after the connection is set up
  client.open(fn);
  

使用每个设备的身份验证凭据

确保只对所需的容器和 Blob 授予匿名读取访问权限

使用 SAS 或 SAP 授予对 Azure 存储中的对象的受限访问权限