DEV Community
·
Entra ID（OIDC）中的联邦凭证通配符
内容提要
微软在2024年底推出Entra ID的新功能“联邦凭证”，允许定义可信的外部安全凭证，支持无密钥认证和动态分支认证，简化GitLab管道的身份验证，但需注意通配符的安全风险。
关键要点
-
微软在2024年底推出Entra ID的新功能“联邦凭证”，支持定义可信的外部安全凭证。
-
联邦凭证允许无密钥认证和动态分支认证，简化GitLab管道的身份验证。
-
在Entra ID中，可以创建安全主体身份并为其分配角色或权限。
-
联邦凭证支持无密钥认证，允许创建身份而无需使用秘密。
-
可以通过精确的主题字段定义外部身份与Entra ID身份的关联。
-
支持通配符的使用，使得可以动态认证以特定前缀命名的分支。
-
使用通配符时需注意安全风险，可能会意外提供访问权限。
-
AUD字段在GitLab和微软之间存在不同的视角，需根据要求设置。
-
可以通过命令行而非门户创建联邦凭证，需具备服务主体的所有者或更高权限。
延伸解读
联邦凭证的安全风险
虽然联邦凭证支持通配符以简化身份验证，但使用通配符时需谨慎。通配符可能导致意外的访问权限，增加安全风险。因此，在定义通配符时，确保明确限制其适用范围，以防止未授权访问。
AUD字段的注意事项
在使用联邦凭证时，AUD字段的设置至关重要。微软和GitLab对该字段的理解不同，可能导致认证问题。用户需根据具体需求调整AUD字段，以确保身份验证的顺利进行。
无密钥认证的优势
联邦凭证允许无密钥认证，这意味着用户可以创建身份而无需使用秘密。这种方式不仅提高了安全性，还简化了身份管理，适合需要频繁变更身份的开发环境。
延伸问答
Entra ID的联邦凭证是什么？
联邦凭证是一组属性和技术，允许定义可信的外部安全凭证，支持无密钥认证和动态分支认证。
如何在Entra ID中创建联邦凭证？
可以通过命令行使用az rest命令创建联邦凭证，需具备服务主体的所有者或更高权限。
使用通配符时需要注意什么？
使用通配符可能会意外提供访问权限，因此需要谨慎管理和定义匹配表达式。
联邦凭证如何简化GitLab管道的身份验证？
联邦凭证支持无密钥认证，允许动态认证特定前缀命名的分支，从而简化身份验证流程。
AUD字段在GitLab和微软之间有什么不同？
AUD字段在微软Entra ID中应设置为api://AzureADTokenExchange，而GitLab通常设置为https://gitlab.com。
Entra ID支持多少个联邦凭证？
Entra ID支持每个身份最多20个联邦凭证。
