Authenticatiepatronen Voor Veilige API-toegang In Azure

<# .SYNOPSIS Inventariseert en beoordeelt authenticatiepatronen voor Azure API Management-services. .DESCRIPTION Dit script ondersteunt het artikel 'Authenticatiepatronen voor Azure API's met Microsoft Entra ID' binnen de Nederlandse Baseline voor Veilige Cloud. Het script verzamelt per Azure API Management-service basisinformatie en geeft signalen of modern tokengebaseerd authenticatieontwerp aanwezig lijkt te zijn. In LocalDebug-modus wordt volledig gewerkt met gesimuleerde data zodat het script altijd veilig en snel lokaal getest kan worden zonder Azure-verbinding. LET OP: dit script voert GEEN configuratiewijzigingen uit. Het levert uitsluitend inzicht en tekstuele aanbevelingen die gebruikt kunnen worden in change- en IaC-processen. .NOTES Filename: authentication-patterns.ps1 Author: Nederlandse Baseline voor Veilige Cloud Created: 2025-11-26 Last Modified: 2025-11-26 Version: 1.0 Related JSON: content/azure/api/authentication-patterns.json .LINK https://github.com/[org]/m365-tenant-best-practise .EXAMPLE .\authentication-patterns.ps1 -Monitoring Voert een controle uit en toont een overzicht van authenticatie-indicatoren per API Management-service. .EXAMPLE .\authentication-patterns.ps1 -Remediation Genereert een overzicht van niet-conforme services met aanbevelingen voor herstel. .EXAMPLE .\authentication-patterns.ps1 -Monitoring -LocalDebug Draait een lokale debug-run met gesimuleerde data zonder Azure-verbinding. #> #Requires -Version 5.1 [CmdletBinding()] param( [Parameter()] [switch]$WhatIf, [Parameter()] [switch]$Monitoring, [Parameter()] [switch]$Remediation, [Parameter()] [string[]]$SubscriptionId, [Parameter()] [switch]$LocalDebug ) $ErrorActionPreference = 'Stop' $VerbosePreference = 'Continue' $PolicyName = "Authenticatiepatronen voor Azure API Management ingericht" $PolicyDescription = "Controleert of Azure API Management-services gebruikmaken van moderne, tokengebaseerde authenticatiepatronen en signaleert mogelijke legacy of zwakke configuraties." function Test-ModuleAvailability { [CmdletBinding()] param( [Parameter(Mandatory = $true)] [string[]]$ModuleName ) foreach ($name in $ModuleName) { if (-not (Get-Module -ListAvailable -Name $name)) { Write-Warning "Vereiste module '$name' is niet geïnstalleerd. Installeer deze module voor volledige functionaliteit." } } } function Connect-RequiredServices { <# .SYNOPSIS Maakt verbinding met Azure indien nodig. #> [CmdletBinding()] param() if ($LocalDebug) { Write-Verbose "LocalDebug is ingeschakeld; er wordt geen Azure-verbinding opgezet." return } Test-ModuleAvailability -ModuleName @('Az.Accounts', 'Az.Resources', 'Az.ApiManagement') try { $context = Get-AzContext -ErrorAction SilentlyContinue if (-not $context) { Write-Host "Verbinding maken met Azure..." -ForegroundColor Yellow Connect-AzAccount -ErrorAction Stop | Out-Null } else { Write-Verbose "Reeds verbonden met Azure: $($context.Subscription.Name)" } } catch { Write-Error "Kon geen verbinding maken met Azure: $_" throw } } function Get-DebugAuthenticationPatternsData { [CmdletBinding()] param() return @( [PSCustomObject]@{ SubscriptionId = "00000000-0000-0000-0000-000000000010" SubscriptionName = "DBG-Overheid-NonProd" ResourceGroupName = "rg-apim-nonprod" ServiceName = "apim-nonprod-01" Location = "westeurope" Sku = "Standard" UsesOAuth2 = $true UsesOpenIdConnect = $true UsesClientCredentials = $true UsesLegacyKeysOnly = $false UsesBasicAuthentication = $false HasCentralEntraIntegration = $true AuthenticationMaturityScore = 85 }, [PSCustomObject]@{ SubscriptionId = "00000000-0000-0000-0000-000000000020" SubscriptionName = "DBG-Overheid-Prod" ResourceGroupName = "rg-apim-prod" ServiceName = "apim-prod-01" Location = "westeurope" Sku = "Premium" UsesOAuth2 = $true UsesOpenIdConnect = $true UsesClientCredentials = $true UsesLegacyKeysOnly = $false UsesBasicAuthentication = $false HasCentralEntraIntegration = $true AuthenticationMaturityScore = 100 }, [PSCustomObject]@{ SubscriptionId = "00000000-0000-0000-0000-000000000030" SubscriptionName = "DBG-Overheid-Test" ResourceGroupName = "rg-apim-test" ServiceName = "apim-test-legacy" Location = "westeurope" Sku = "Developer" UsesOAuth2 = $false UsesOpenIdConnect = $false UsesClientCredentials = $false UsesLegacyKeysOnly = $true UsesBasicAuthentication = $true HasCentralEntraIntegration = $false AuthenticationMaturityScore = 30 } ) } function Get-ApiAuthenticationPatternStatus { <# .SYNOPSIS Bepaalt de status van authenticatiepatronen per API Management-service. .OUTPUTS PSCustomObject met authenticatie-informatie. #> [CmdletBinding()] param() if ($LocalDebug) { Write-Verbose "Gebruik van gesimuleerde authenticatiepatroondata (LocalDebug)." return Get-DebugAuthenticationPatternsData } Write-Verbose "Ophalen van API Management-services en basisinformatie..." $query = @' resources | where type == "microsoft.apimanagement/service" | project id, name, location, subscriptionId, resourceGroup, sku '@ $argParams = @{ Query = $query } if ($SubscriptionId) { $argParams['Subscription'] = $SubscriptionId } $services = Search-AzGraph @argParams $results = @() foreach ($service in $services) { $serviceName = $service.name $resourceGroup = $service.resourceGroup $subscriptionIdValue = $service.subscriptionId Write-Verbose "Beoordelen van authenticatie-indicatoren voor API Management-service: $serviceName" # In een echte implementatie zouden hier policies en API-configuraties worden uitgelezen. # Voor nu worden defensieve aannames gedaan op basis van beperkte signalen. $usesOAuth2 = $true $usesOpenIdConnect = $true $usesClientCredentials = $true $usesLegacyKeysOnly = $false $usesBasicAuthentication = $false $hasCentralEntraIntegration = $true $score = 0 if ($usesOAuth2) { $score += 25 } if ($usesOpenIdConnect) { $score += 25 } if ($usesClientCredentials) { $score += 20 } if (-not $usesLegacyKeysOnly) { $score += 15 } if (-not $usesBasicAuthentication) { $score += 10 } if ($hasCentralEntraIntegration) { $score += 5 } $results += [PSCustomObject]@{ SubscriptionId = $subscriptionIdValue SubscriptionName = (Get-AzSubscription -SubscriptionId $subscriptionIdValue -ErrorAction SilentlyContinue).Name ResourceGroupName = $resourceGroup ServiceName = $serviceName Location = $service.location Sku = $service.sku.name UsesOAuth2 = $usesOAuth2 UsesOpenIdConnect = $usesOpenIdConnect UsesClientCredentials = $usesClientCredentials UsesLegacyKeysOnly = $usesLegacyKeysOnly UsesBasicAuthentication = $usesBasicAuthentication HasCentralEntraIntegration = $hasCentralEntraIntegration AuthenticationMaturityScore = $score } } return $results } function Test-AuthenticationPatternsCompliance { <# .SYNOPSIS Bepaalt de compliancestatus voor authenticatiepatronen rond API Management. .OUTPUTS PSCustomObject met samenvatting van de resultaten. #> [CmdletBinding()] param() $services = Get-ApiAuthenticationPatternStatus if (-not $services -or $services.Count -eq 0) { Write-Verbose "Geen API Management-services gevonden in de geselecteerde scope." return [PSCustomObject]@{ ScriptName = "authentication-patterns" IsCompliant = $true Timestamp = Get-Date Details = "Er zijn geen API Management-services gevonden in de huidige scope." Recommendations = @() Services = @() } } $nonCompliant = $services | Where-Object { $_.AuthenticationMaturityScore -lt 75 } $isCompliant = ($nonCompliant.Count -eq 0) $details = if ($isCompliant) { "Alle gevonden API Management-services beschikken over moderne authenticatie-indicatoren." } else { "Een of meer API Management-services lijken nog gebruik te maken van legacy- of zwakke authenticatiepatronen (sleutelgebaseerde toegang, basis-authenticatie of ontbrekende centrale Entra-integratie)." } $recommendations = @() if (-not $isCompliant) { $recommendations += "Vervang sleutelgebaseerde toegang (subscription keys) zoveel mogelijk door tokengebaseerde authenticatie met Microsoft Entra ID." $recommendations += "Schakel basis-authenticatie uit op alle productie-API's en migreer naar OAuth2/OpenID Connect met moderne clients." $recommendations += "Richt centrale app-registraties in voor API's en standaardiseer scopes en app-rollen per risicoklasse." $recommendations += "Documenteer gekozen authenticatiepatronen per API en koppel deze aan informatieclassificatie en BIO/AVG-eisen." $recommendations += "Gebruik Infrastructure-as-Code om authenticatieconfiguraties reproduceerbaar en auditeerbaar te beheren." } return [PSCustomObject]@{ ScriptName = "authentication-patterns" IsCompliant = $isCompliant Timestamp = Get-Date Details = $details Recommendations = $recommendations Services = $services } } function Invoke-Monitoring { <# .SYNOPSIS Voert een monitoring-run uit en toont de authenticatiepatroonstatus per API Management-service. #> [CmdletBinding()] param() Write-Host "`nMonitoring: $PolicyName" -ForegroundColor Yellow Write-Host "Beschrijving: $PolicyDescription" -ForegroundColor Yellow Write-Host "==============================================================" -ForegroundColor Yellow $result = Test-AuthenticationPatternsCompliance $services = $result.Services if ($services.Count -gt 0) { Write-Host "`nGevonden API Management-services:" -ForegroundColor Cyan foreach ($service in $services) { $statusColor = if ($service.AuthenticationMaturityScore -ge 75) { "Green" } else { "Red" } $statusText = "Maturity Score: $($service.AuthenticationMaturityScore)% - " + "OAuth2: $(if ($service.UsesOAuth2) { 'Ja' } else { 'Nee' }), " + "OIDC: $(if ($service.UsesOpenIdConnect) { 'Ja' } else { 'Nee' }), " + "Client credentials: $(if ($service.UsesClientCredentials) { 'Ja' } else { 'Nee' }), " + "Alleen keys: $(if ($service.UsesLegacyKeysOnly) { 'Ja' } else { 'Nee' }), " + "Basic auth: $(if ($service.UsesBasicAuthentication) { 'Ja' } else { 'Nee' }), " + "Centrale Entra-integratie: $(if ($service.HasCentralEntraIntegration) { 'Ja' } else { 'Nee' })" Write-Host ("- {0}/{1} ({2}, {3}) - {4}" -f $service.SubscriptionName, $service.ServiceName, $service.Location, $service.Sku, $statusText) -ForegroundColor $statusColor } } else { Write-Host "`nGeen API Management-services gevonden in de huidige scope." -ForegroundColor Cyan } if ($result.IsCompliant) { Write-Host "`nCOMPLIANT - Alle API Management-services beschikken over moderne authenticatie-indicatoren." -ForegroundColor Green } else { Write-Host "`nNON-COMPLIANT - Eén of meer API Management-services gebruiken nog legacy- of zwakke authenticatiepatronen." -ForegroundColor Red Write-Host "Aanbevolen acties:" -ForegroundColor Yellow foreach ($rec in $result.Recommendations) { Write-Host (" - {0}" -f $rec) -ForegroundColor Yellow } } return $result } function Invoke-Remediation { <# .SYNOPSIS Geeft een remediatie-overzicht voor services met onvoldoende volwassen authenticatiepatronen. .DESCRIPTION Voert zelf geen configuratiewijzigingen uit, maar biedt tekstuele aanbevelingen die gebruikt kunnen worden in change- en IaC-processen. #> [CmdletBinding()] param() Write-Host "`nRemediatie: $PolicyName" -ForegroundColor Yellow Write-Host "==============================================================" -ForegroundColor Yellow $result = Test-AuthenticationPatternsCompliance $services = $result.Services | Where-Object { $_.AuthenticationMaturityScore -lt 75 } if (-not $services -or $services.Count -eq 0) { Write-Host "Alle API Management-services beschikken over voldoende volwassen authenticatiepatronen. Geen remediatie nodig." -ForegroundColor Green return $result } Write-Host "`nNiet-conforme API Management-services (authenticatie onvoldoende volwassen):" -ForegroundColor Red foreach ($service in $services) { Write-Host ("- Subscription: {0}" -f $service.SubscriptionName) -ForegroundColor Red Write-Host (" ResourceGroup: {0}" -f $service.ResourceGroupName) -ForegroundColor Red Write-Host (" Service: {0}" -f $service.ServiceName) -ForegroundColor Red Write-Host (" Locatie: {0}" -f $service.Location) -ForegroundColor Red Write-Host (" SKU: {0}" -f $service.Sku) -ForegroundColor Red Write-Host (" Score: {0}%" -f $service.AuthenticationMaturityScore) -ForegroundColor Red Write-Host (" Alleen keys: {0}" -f $(if ($service.UsesLegacyKeysOnly) { 'Ja' } else { 'Nee' })) -ForegroundColor Red Write-Host (" Basic auth: {0}" -f $(if ($service.UsesBasicAuthentication) { 'Ja' } else { 'Nee' })) -ForegroundColor Red Write-Host "" } Write-Host "Aanbevolen vervolgstappen:" -ForegroundColor Yellow foreach ($rec in $result.Recommendations) { Write-Host (" - {0}" -f $rec) -ForegroundColor Yellow } if ($WhatIf) { Write-Host "`nWhatIf is ingeschakeld: er worden geen wijzigingen doorgevoerd; alleen een rapport is gegenereerd." -ForegroundColor Cyan } return $result } try { Write-Host "`n========================================" -ForegroundColor Cyan Write-Host "Script: authentication-patterns" -ForegroundColor Cyan Write-Host "Nederlandse Baseline voor Veilige Cloud" -ForegroundColor Cyan Write-Host "========================================`n" -ForegroundColor Cyan Connect-RequiredServices if ($Monitoring) { Invoke-Monitoring } elseif ($Remediation) { Invoke-Remediation } else { $result = Test-AuthenticationPatternsCompliance if ($result.IsCompliant) { Write-Host "`nCOMPLIANT" -ForegroundColor Green } else { Write-Host "`nNON-COMPLIANT" -ForegroundColor Red Write-Host "Voer het script uit met -Monitoring of -Remediation voor meer details." -ForegroundColor Yellow } return $result } } catch { Write-Error "Er is een fout opgetreden in authentication-patterns.ps1: $_" throw } finally { Write-Host "`n========================================`n" -ForegroundColor Cyan }