Autenticação para análise em escala de nuvem no Azure

A autenticação é o processo de verificação da identidade de um usuário ou aplicativo. Recomendamos que você use um provedor de identidade de fonte única para lidar com o gerenciamento e a autenticação de identidade. Este provedor é conhecido como um serviço de diretório. Ele fornece maneiras de armazenar dados de diretório e torna esses dados disponíveis para usuários e administradores da rede.

Qualquer solução de data lake deve usar e integrar-se a um serviço de diretório existente. Para a maioria das organizações, o serviço de diretório para todos os serviços relacionados à identidade é o Microsoft Entra ID. É o banco de dados primário e centralizado para todas as contas de serviço e de usuário.

Na nuvem, o Microsoft Entra ID é um provedor de identidade centralizado e a fonte preferida para o gerenciamento de identidades. Delegue autenticação e autorização ao Microsoft Entra ID para usar recursos como políticas de Acesso Condicional que exigem que um usuário esteja em um local específico. O Microsoft Entra ID também suporta autenticação multifator, o que aumenta o nível de segurança de acesso. Você deve configurar os serviços de dados integrando o Microsoft Entra ID sempre que possível.

Se os seus serviços de dados não suportarem o Microsoft Entra ID, deverá efetuar a autenticação utilizando uma chave de acesso ou token. Você deve armazenar a chave de acesso em um repositório de gerenciamento de chaves, como o Cofre de Chaves do Azure.

Os cenários de autenticação para análises em escala de nuvem são:

• Autenticação do usuário. Nesse cenário, o Microsoft Entra ID autentica usuários usando suas credenciais.
• Autenticação de serviço a serviço. Nesse cenário, os recursos do Azure autenticam serviços usando identidades gerenciadas, que o Azure gerencia automaticamente.
• Autenticação de aplicativo para serviço. Nesse cenário, os aplicativos autenticam serviços usando entidades de serviço.

Cenários de autenticação

As seções a seguir descrevem cada um dos cenários de autenticação: autenticação de usuário, autenticação de serviço para serviço e autenticação de aplicativo para serviço.

Autenticação do utilizador

Os usuários que se conectam a um serviço ou recurso de dados devem apresentar uma credencial. Essa credencial prova que os usuários são quem afirmam ser. Em seguida, eles podem acessar o serviço ou recurso. A autenticação também permite que o serviço conheça a identidade dos usuários. O serviço decide o que um usuário pode ver e fazer depois que a identidade é verificada.

O Armazenamento Azure Data Lake, a Base de Dados SQL do Azure e o Azure Databricks suportam a integração do Microsoft Entra ID. O modo de autenticação de usuário interativo exige que os usuários forneçam credenciais em uma caixa de diálogo.

Autenticação serviço a serviço

Quando um serviço acessa outro serviço sem interação humana, ele deve apresentar uma identidade válida. Essa identidade comprova a autenticidade do serviço e permite que o serviço que ele acessa determine quais ações são permitidas.

Em cenários de autenticação de serviço a serviço, recomendamos que você use identidades gerenciadas para autenticar serviços do Azure. As identidades gerenciadas para recursos do Azure permitem a autenticação em qualquer serviço que ofereça suporte à autenticação do Microsoft Entra sem credenciais explícitas. Para obter mais informações, consulte O que são identidades gerenciadas para recursos do Azure.

As identidades gerenciadas são entidades de serviço que só podem ser usadas com recursos do Azure. Por exemplo, você pode criar uma identidade gerenciada para uma instância do Azure Data Factory. O Microsoft Entra ID registra essa identidade gerenciada como um objeto que representa a instância do Data Factory. Em seguida, você pode usar essa identidade para autenticar em qualquer serviço, como o Armazenamento Data Lake, sem credenciais no código. O Azure gerencia as credenciais que a instância de serviço usa. A identidade pode autenticar recursos de serviço do Azure, como uma pasta no Armazenamento Data Lake. Quando você exclui a instância do Data Factory, o Azure exclui a identidade na ID do Microsoft Entra.

Benefícios do uso de identidades gerenciadas

Use identidades gerenciadas para autenticar um serviço do Azure em outro serviço ou recurso do Azure. As identidades gerenciadas oferecem os seguintes benefícios:

• Uma identidade gerenciada representa o serviço para o qual foi criada. Ele não representa um usuário interativo.
• As credenciais de identidade gerenciadas são mantidas, gerenciadas e armazenadas no Microsoft Entra ID. Não há senha para um usuário manter.
• Quando você usa identidades gerenciadas, os serviços do cliente não usam senhas.
• A identidade gerenciada atribuída ao sistema é excluída quando a instância de serviço é excluída.

Esses benefícios significam que as credenciais estão mais bem protegidas e que o comprometimento da segurança é menos provável.

Autenticação de aplicativo para serviço

Outro cenário de acesso é quando um aplicativo, como um aplicativo móvel ou Web, acessa um serviço do Azure. A aplicação deve apresentar a sua própria identidade, que deve depois ser verificada.

Uma entidade de serviço do Azure é a opção alternativa para que aplicativos e serviços que não oferecem suporte a identidades gerenciadas se autentiquem nos recursos do Azure. Um princípio de serviço é uma identidade criada especificamente para aplicações, serviços hospedados e ferramentas automatizadas, de modo a aceder aos recursos do Azure. As funções atribuídas ao principal de serviço controlam o seu acesso. Por motivos de segurança, recomendamos que você use entidades de serviço com ferramentas ou aplicativos automatizados, em vez de permitir que eles entrem com uma identidade de usuário. Para obter mais informações, consulte Objetos principais de aplicativo e serviço no Microsoft Entra ID.

Diferenças entre identidades gerenciadas e entidades de serviço

Práticas recomendadas para autenticação em análises em escala de nuvem

Na análise em escala de nuvem, a implementação de práticas de autenticação robustas e seguras é fundamental. As práticas recomendadas de autenticação aplicam-se a várias camadas de uma solução, incluindo bancos de dados, armazenamento e serviços de análise. Usando o Microsoft Entra ID, as organizações podem melhorar a segurança usando recursos como autenticação multifator e políticas de Acesso Condicional.

Próximo passo

Autorização para análises em escala de nuvem no Azure