En managed identity er en type workload identity. I Microsoft Entra administrerer platformen dens legitimationsoplysninger, så udvikleren ikke selv skal håndtere dem.
Begreb
Workload identity
•
2 min
•
Grundlæggende
En workload identity er en identitet for software, eksempelvis en applikation, en tjeneste eller et automatiseret job. Den bruges til at bevise, hvilken software der anmoder om adgang til en ressource, uden at bruge en medarbejders personlige konto.
Identiteten fortæller, hvem softwaren er. Rettighederne bestemmer, hvad den må gøre.
Hvorfor er begrebet vigtigt?
Applikationer og automatisering skal ofte arbejde uden en bruger ved tastaturet. Egne identiteter gør det muligt at give hver opgave passende adgang og følge brugen i logs.
Adgangen kan dermed knyttes til softwarens formål og levetid. Det gør løsningen mindre afhængig af en bestemt medarbejder og begrænser konsekvensen, hvis en identitet bliver misbrugt.
Typisk misforståelse
En workload identity betyder ikke automatisk, at løsningen er uden passwords eller har sikre rettigheder. Identiteten kan bruge forskellige legitimationsmidler, eksempelvis et certifikat eller et token. Adgang til de konkrete ressourcer skal stadig tildeles og begrænses.
Eksempel
Et fiktivt rapportjob skal læse salgsdata og gemme en rapport. Det får sin egen identitet med læseadgang til datakilden og skriveadgang til rapportmappen.
Jobbet behøver hverken en medarbejderkonto eller ret til at slette salgsdata. Et tilsvarende testjob får en separat identitet uden adgang til produktionsdata.
Best practice
Adskil identiteter efter opgave, miljø og adgangsbehov.
Giv kun de rettigheder, som opgaven kræver.
Brug managed identity eller føderation, hvor platformen understøtter det.
Begræns, hvilke workloads en fødereret tillidsrelation accepterer.
Dokumentér ejer og formål, overvåg brugen, og fjern unødvendig adgang.
Frequently asked questions
Føderation lader en workload bruge et token fra en betroet identitetsudbyder til at få adgang uden en fast applikationshemmelighed i understøttede scenarier. Tillidsrelationen og rettighederne skal stadig afgrænses.
Nej. En ServiceAccount giver en identitet i Kubernetes. Adgang til en ekstern cloudtjeneste kræver en passende integration og tilladelser hos modtageren.