Azure / متقدم: بنية آمنة قابلة للتعافي / الدرس 14

هوية الحمل والأسرار والأمن متعدد الطبقات

ابنِ طريق ثقة ضيقاً بين التطبيق واعتماداته. افصل الهوية المدارة وتعيين الدور وعمر السر والوصول الشبكي والتشفير وصلاحية التطبيق، ثم حدد الدليل الذي يثبت كل حد.

وقت القراءة التقريبي: 5 دقيقةتاريخ مراجعة المحتوى 2026-10-25

في هذه الصفحة

أهداف الدرس

مقارنة عمر الهوية التابعة للمورد والهوية المعينة من المستخدم.
نمذجة أقل امتياز واختيار حقول تشخيص آمنة.
شرح لماذا لا تكفي خزنة أو نقطة خاصة لإثبات أمن التطبيق كله.

تغير الهوية المدارة ملكية الاعتماد

تتيح الهويات المدارة للأحمال المدعومة الحصول على رموز Microsoft Entra دون أن يدير التطبيق مادة اعتماد تلك الهوية. لكنها لا تمنح الوصول تلقائياً إلى كل مورد خلفي. ترتبط الهوية system-assigned بعمر موردها، بينما تكون user-assigned مورداً مستقلاً يمكن إرفاقه وفق القواعد المدعومة. لذلك قد تغير إعادة إنشاء مورد أو نقله الهوية وأذوناتها، حتى إن عاد الكود إلى نسخته السابقة. اختر النوع عمداً ووثّق الفاعل الذي يحدده التطبيق فعلياً، وتحقق من دعم الخدمة المستهدفة لطريق المصادقة المقصود. لا تعتبر اسم العرض معرفاً فريداً للفاعل الأمني.

رسم كل حدود طريق الاعتماد

تحتاج واجهة تقرأ حاوية وثائق إلى هوية حمل مختارة، ورمز للهدف الصحيح، ودور بيانات ملائم بالنطاق المقصود، وطريق شبكي مسموح، وقواعد تطبيق للوثيقة المطلوبة. يسجل النموذج هذه المتطلبات دون إنشاء هوية أو تعيين دور. تغير النقطة الخاصة قابلية الوصول ولا تستبدل التصريح بالبيانات. وقد يمنح دور عند نطاق أب وصولاً أوسع من الحاوية المقصودة. راجع الوصول الموروث ووسائل الاعتماد البديلة حتى لا ينجح الاختبار بمفتاح مشترك بينما يبقى طريق الهوية المطلوب معطلاً.

json طريق ثقة مصطنع بينالخدمات

{
  "model": "workload-trust-path-only",
  "workload": "document-api",
  "requires": [
    "selected-managed-identity",
    "correct-token-target",
    "container-scoped-data-role",
    "permitted-network-path",
    "document-authorization"
  ],
  "alternate_credentials_reviewed": false
}

الناتج المتوقع

all boundaries and alternate credential paths need explicit review

لا يتضمن النموذج مستأجراً أو معرف فاعل أو رمزاً أو سراً أو تعيين دور فعلياً، ولا يثبت وصولاً حياً.

تحتاج الخزنة بدءاً وإذناً وتعافياً

توفر Azure Key Vault قدرات مدارة للأسرار والمفاتيح والشهادات وفق عقودها المدعومة. لا يقرر حفظ السر فيها أي حمل يستطيع جلبه، أو طريقة تدوير الإصدارات، أو انتهاء القيم المخبأة، أو التصرف أثناء التعطل. اختر أقل عملية ونطاق لازمين، واحمِ الشبكة والسجلات، وخطط للسحب والاستعادة. تنشئ ملكية المفاتيح وخيارات التشفير اعتمادات تؤثر في التوفر والتعافي. لا تضع قيمة السر في الوسوم أو مخرجات البنية أو السجل أو المثال. يجب أن تراعي خطة التدوير توافق القديم والجديد وتؤكده قبل إزالة إصدار ما زال مطلوباً.

حفظ الدليل المفيد مع إزالة الحمولة الحساسة

استخدم حقول تشخيص مسموحة بدلاً من تسجيل الطلب أو كائن الإعداد كله. يحتفظ النموذج المحلي بالعملية ومعرف الربط ويستبعد حقل رمز مصطنعاً. إنه مثال اختيار بيانات، لا إثبات تنقيح كل بيئة تشغيل أو مسار استثناء أو قناة تسجيل. عامل المعرفات كبيانات تشغيل محددة النطاق مع ضبط الوصول والاحتفاظ. عند تحقيق 403 احفظ الهدف والفعل واختيار الهوية وفئة الفشل الآمنة، ثم تتبع الدور والشبكة دون نسخ الرمز. اختبر الجمع المؤتمت لاحتمال كشف الأسرار قبل تفعيله في بيئة حقيقية.

python اختيار تشخيص مسموح محلياً

event = {"operation": "read-document", "correlation": "synthetic-17", "token": "synthetic-not-a-credential"}
allowed = {"operation", "correlation"}
safe = {key: value for key, value in event.items() if key in allowed}
print(",".join(sorted(safe)))
print("token" in safe)

الناتج المتوقع

correlation,operation
False

نص الرمز مزيف عمداً ولا يستخدم اعتماداً. يفحص البرنامج اختيار الحقول في هذا القاموس فقط.

جمع الضوابط وفحص الطريقالمرفوض

يمتد التصميم الأمني إلى الهوية والتصريح وتعرض الشبكة ومعالجة المدخلات وحماية البيانات وثقة الاعتمادات والرصد والتعافي. قد تساعد Azure Policy وقدرات Defender for Cloud المختارة وغيرها من أدوات الحَوْكمة، لكنها لا تشهد بأمن التطبيق لمجرد وجودها. عرّف حالات الفاعل والفعل والمورد المسموحة والممنوعة، وافحص غياب البيانات الخاصة والآثار بعد الرفض في إعداد مصرح لاحقاً. لا تنشئ الدورة هوية أو تغير دوراً أو تجلب رمزاً أو تصل لخزنة أو تجري مسحاً أو فعلاً سحابياً. تعلم النماذج الملكية وحدود الدليل ولا تدعي وجود بيئة منشورة آمنة.

الأخطاء الشائعة وإصلاحها

اعتبار تفعيل الهوية المدارة منحاً للوصول إلى البيانات

لماذا يحدث؟: الخلط بين الحصول على الاعتماد والتصريح بالعملية.
كيف تصلحه؟: تحقق من دعم الهدف والفاعل المختار والدور والنطاق والطريق الشبكي.
كيف تتجنب تكراره؟: أدرج حالة نطاق مرفوض وراجع وسائل الاعتماد البديلة.

اعتبار حفظ السر سياسة تدوير كاملة

لماذا يحدث؟: إغفال الإصدار والمخبأ والسحب والتعافي.
كيف تصلحه؟: صمّم عمر السر كاملاً وتحقق منه.
كيف تتجنب تكراره؟: اختبر التوافق والفشل قبل إزالة الإصدارات القديمة.

تسجيل الإعداد كله لتشخيص الوصول

لماذا يحدث؟: جمع بيانات خاصة دون مخطط أدنى ضروري.
كيف تصلحه؟: استخدم سياقاً مسموحاً آمناً واحتفاظاً مضبوطاً.
كيف تتجنب تكراره؟: راجع مسارات التسجيل والاستثناء لاحتمال كشف الحساس.

اختبر فهمك

1. انتقل حمل إلى مورد جديد ولم يعد يقرأ الحاوية نفسها. ما سؤال الهوية المهم؟

اعرض الحل المشروح

حدد الفاعل المختار الآن وهل تغير عمره، خصوصاً مع هوية system-assigned. ثم افحص الهدف والنطاق وطريق الاعتماد والشبكة. لا يثبت تشابه اسم العرض أو بقاء الكود أن المورد الجديد يملك وصول الفاعل القديم.

2. ماذا يثبت نموذج التشخيص الآمن؟