Una descripción general de la administración de secretos de clientes en Azure AD
En este mundo cada vez más digital, garantizar la seguridad? es un gran desafío para las organizaciones de todo el mundo. Para abordar esta preocupación, la autenticación multifactor (MFA) actúa como un escudo invencible que fortalece Microsoft 365 con protección multicapa. Si bien la administración de MFA proporciona una seguridad sólida para Microsoft 365, es igualmente esencial tener una técnica de autenticación para las aplicaciones de Azure. Con suerte, algunos métodos, incluida la autenticación secreta del cliente, facilitan un protocolo de enlace con el proceso de autenticación de la aplicación Azure. Este interesante blog lo lleva a través de los entresijos de la administración de secretos de clientes en Azure AD, descubriendo los secretos para proteger sus aplicaciones y prepararlo contra las amenazas digitales.
Exploremos? el núcleo de la autenticación segura y descubramos el verdadero poder de la gestión de secretos del cliente de Azure AD.
“La ciberseguridad es mucho más que una cuestión de TI ”
- Stéphane Nappo
¿Qué es el secreto del cliente en Azure AD?
Un secreto de cliente es una técnica de autenticación que utiliza un valor de cadena en la aplicación de Azure en lugar de un certificado de identidad. También se denomina contraseña de aplicación y se utiliza para la autenticación de tokens para el acceso a aplicaciones de Azure. Azure AD emite un token para acceder al recurso deseado tras la verificación exitosa del secreto del cliente.
Advertencia: Debido a los desafíos del almacenamiento secreto, se considera menos seguro que la autenticación basada en certificados. Las credenciales de certificado se consideran entornos de alta seguridad por sus características de seguridad mejoradas.
Gestión de secretos de cliente en Azure AD
Los pasos siguientes le permiten administrar el secreto del cliente para una aplicación en el portal de Azure AD. Podrás seguir la operativa de gestión adecuada a tu necesidad. Primero, asegúrese de iniciar sesión en el centro de administración de Microsoft Entra.
- Obtener secreto de cliente desde el registro de la aplicación Azure
- Crear un secreto de cliente de Azure para aplicaciones
- Crear secretos de cliente en Azure AD mediante PowerShell
- Comprobar y actualizar la caducidad del secreto del cliente en Azure AD
- Eliminar un secreto de cliente de una aplicación de Azure
Obtener secreto de cliente desde el registro de la aplicación Azure
Para generar un secreto de cliente para una aplicación de Azure, debe seguir el procedimiento siguiente en el centro de administración de Microsoft Entra.
1. Dirígete a la pestaña “Identidad” y elige “Aplicaciones”.
2. Seleccione "Registros de aplicaciones" en la pestaña "Aplicaciones".
3. Seleccione la aplicación deseada donde desea ver la configuración secreta del cliente.
4. En el menú de la aplicación respectiva, seleccione la pestaña “Certificados y secretos”.
5. Puede ver la lista de configuraciones de secretos de cliente en la pestaña “Secretos de cliente”.
Crear un secreto de cliente de Azure para aplicaciones
Para crear secretos de cliente para una aplicación de Azure, navegue hasta la pestaña "Secretos de cliente" como se explicó anteriormente y siga los pasos a continuación.
1. Haga clic en el botón “Nuevo secreto de cliente” e ingrese una descripción adecuada para el secreto de cliente.
2. Elija la fecha de vencimiento en el menú desplegable y haga clic en el botón “Agregar”. Aquí puede especificar un máximo de 24 meses para la caducidad de los secretos del cliente dentro de Azure Portal. Pero con la ayuda de PowerShell, puedes establecer el vencimiento más allá de los 24 meses.
Nota: Después de la creación exitosa del secreto del cliente, copie el “Valor” del secreto y guárdelo para futuras actividades. El valor del secreto del cliente desaparecerá una vez que se actualice la página. Este valor puede ser necesario para la autenticación periódica, la renovación de tokens, la vinculación del almacén de claves y más.
Crear secretos de cliente en Azure AD mediante PowerShell
Puede usar el siguiente cmdlet de PowerShell para crear secretos de cliente en Azure Active Directory durante más de 2 años o sin vencimiento (hasta el año 9999). Antes de ejecutar el cmdlet, asegúrese de conectarse a Microsoft Graph PowerShell con el alcance “Application.ReadWrite.All”.
Add-MgApplicationPassword -ApplicationId <AppObjectId> -PasswordCredential @{
DisplayName=<ClientSecretDescription>; EndDateTime=[DateTime]::ParseExact("12/31/9999","MM/dd/yyyy",$null)}
Reemplace
Comprobar y actualizar la caducidad del secreto del cliente en Azure AD
Si el secreto del cliente caduca, los usuarios no podrán acceder ni iniciar sesión en el portal de la aplicación y verán una página de error. En Azure Portal, puede verificar la caducidad del secreto del cliente en la página "Secretos del cliente". Si un certificado ha caducado, aparecerá el mensaje “Un certificado o secreto ha caducado. Crear uno nuevo” se mostrará en Azure Portal.
En caso de vencimiento, se puede generar un nuevo secreto de cliente en Azure Portal (máximo de 2 años) o mediante PowerShell (período largo). Sin embargo, tenga en cuenta que este secreto no se puede renovar más allá de su fecha de vencimiento.
Nota: Una vez que cree nuevos secretos en caso de que caduquen, asegúrese de actualizar la configuración o el código de la aplicación para usar el nuevo.
Eliminar un secreto de cliente de una aplicación de Azure
En algunos casos excepcionales, es esencial eliminar los secretos del cliente para evitar el acceso no autorizado a sus recursos. También es necesario eliminar el secreto del cliente una vez que haya caducado. Para eliminar secretos de cliente, utilice el icono de eliminación ubicado con el secreto de cliente respectivo en la página "Secretos de cliente" y seleccione "Sí".
Alternativas para la autenticación de secretos de clientes
Además de los secretos del cliente, Azure Active Directory ofrece dos estrategias de protección integradas para salvaguardar el funcionamiento de la aplicación. Las otras dos alternativas son:
Autenticación basada en certificados: en la autenticación de aplicaciones de Azure, los certificados se denominan claves públicas. Este certificado demuestra la identidad de la aplicación con secretos cuando los usuarios solicitan acceder a la aplicación. Por ejemplo, puede conectarse a Microsoft Graph PowerShell mediante autenticación de certificado en lugar de autenticación de administrador.
Autenticación de credenciales federadas: Al incorporar una confianza con una conexión OIDC-Open ID externa, las credenciales federadas permiten que otras identidades se hagan pasar por aplicaciones. La autenticación federada le permite obtener tokens para acceder a Azure y Microsoft Graph.
Espero que el blog le haya brindado una descripción general de la administración de secretos de clientes en Azure AD para optimizar la seguridad. No dudes en dejar tus consultas en la sección de comentarios. Estamos felices? de poder ayudarte. ¡Manténganse al tanto!