Proteggi la soluzione Data API Builder

Il generatore di API dati espone i dati tramite endpoint REST e GraphQL. La protezione dell'API richiede attenzione a tre aree principali: l'autenticazione (chi chiama?), l'autorizzazione (cosa possono fare?) e la sicurezza del trasporto (è protetta la connessione?).

Tre pilastri della sicurezza

Scegliere il provider di autenticazione

Il generatore di API dati supporta più provider di autenticazione. Scegliere quello che corrisponde allo scenario di distribuzione:

Autenticazione

L'autenticazione verifica l'identità del chiamante. Il generatore di API dati autentica le richieste convalidando i token di connessione JWT (EntraID/AzureAD, Custom) oppure affidandosi alle intestazioni di identità fornite dalla piattaforma (AppService, StaticWebApps). Simulator salta la convalida esterna per lo sviluppo.

Come funziona

1. Per i provider JWT, il client acquisisce un token dal provider di identità
2. Il client invia il token nell'intestazione Authorization: Bearer <token> (provider JWT) o la piattaforma inserisce le intestazioni di identità (EasyAuth/SWA)
3. Il generatore di API dati convalida il token o l'intestazione della piattaforma (autorità di certificazione, destinatari, firma per i provider JWT)
4. DAB estrae i ruoli dell'utente dall'intestazione del token o dell'identità

Riferimento rapido

Per una configurazione dettagliata, vedere Configurare l'autenticazione dell'ID di Microsoft Entra.

Autorizzazione

L'autorizzazione determina le operazioni che un utente autenticato (o anonimo) può eseguire. Il generatore di API dati usa il controllo degli accessi in base al ruolo per limitare l'accesso alle entità e alle azioni.

Come funziona

1. DAB assegna un ruolo alla richiesta in base al token e alle intestazioni
2. DAB cerca le autorizzazioni dell'entità per quel ruolo
3. Se il ruolo dispone dell'autorizzazione per l'azione richiesta, DAB esegue la query
4. In caso contrario, DAB restituisce una 403 Forbidden risposta

Ruoli di sistema e ruoli utente

Sicuro per impostazione predefinita

Per impostazione predefinita, le entità non dispongono di autorizzazioni. È necessario concedere in modo esplicito l'accesso:

{
  "entities": {
    "Book": {
      "permissions": [
        { "role": "authenticated", "actions": ["read"] }
      ]
    }
  }
}

Per una configurazione dettagliata, vedere Autorizzazione e ruoli.

Sicurezza a livello di riga e a livello di campo

Andare oltre le autorizzazioni a livello di entità con controllo di accesso con granularità fine:

Sicurezza del trasporto e della configurazione

Sicurezza del trasporto

• Usare TLS per tutte le connessioni: crittografare il traffico tra client e DAB
• Disabilitare le versioni TLS legacy: fare affidamento solo su TLS 1.2+
• Usare gli endpoint HTTPS: non esporre MAI DAB su HTTP non crittografato nell'ambiente di produzione

Per informazioni dettagliate, vedere Procedure consigliate per la sicurezza.

Sicurezza della configurazione

• Archiviare i segreti nelle variabili di ambiente: usare @env('SECRET_NAME') nella configurazione
• Usare Azure Key Vault: segreti di riferimento con @azure('key-vault-uri')
• Non eseguire mai il commit dei segreti: mantenere dab-config.json liberi da password e stringhe di connessione

{
  "data-source": {
    "connection-string": "@env('SQL_CONNECTION_STRING')"
  }
}

Monitoraggio e aggiornamenti

• Monitorare l'accesso: usare Application Insights per tenere traccia delle richieste e rilevare anomalie
• Esaminare i log: verificare la presenza di tentativi di autenticazione non riusciti e di rifiuto delle autorizzazioni
• Mantenere aggiornato DAB: applicare le patch di sicurezza eseguendo l'aggiornamento alla versione più recente

Guide introduttive

Contenuti correlati

• Configurare l'autenticazione di Microsoft Entra ID
• Autorizzazione e ruoli
• Procedure consigliate per la sicurezza
• Informazioni di riferimento sulla configurazione del runtime