Как защитить URL-адреса платформы бота от прямого доступа
Мы планируем использовать Microsoft bot framework для разработки бота для корпоративных пользователей, как только они войдут на наш корпоративный веб-сайт, они смогут увидеть бота. Как защитить URL-адреса ботов от общедоступных файлов . Как я могу убедиться, что только корпоративные пользователи, вошедшие в систему, получат доступ к Bot.
Просмотрел часть документации, предоставленной Microsoft, например механизм токенов, по прямому каналу, но все еще не созван. У кого-нибудь есть эталонная схема архитектуры для того же? Или вы когда-нибудь реализовывали такое решение?
Ответы 1
Я предполагаю, что вы имеете в виду конечную точку вашего приложения-бота (например, /api/messages)?
Когда вы используете службу Azure Bot (ABS), которая передает весь входящий трафик через один из многих поддерживаемых каналов. Затем само приложение-бот получает входящие запросы в форме нормализованных действий по протоколу ABS Connector. Эта связь защищена через HTTPS и аутентифицирована с помощью токенов JWT, которые подписаны и проверяемы.
Теперь при использовании пакета SDK Bot Builder (BBSDK) BBSDK будет проверять входящий токен JWT, чтобы убедиться, что он правильно подписан. Он делает это, получая открытый ключ из документа метаданных, который, как ему известно, исходит от действительного (DNS/SSL) имени хоста, а затем проверяет подпись с помощью открытого ключа. Таким образом, он знает, что входящий запрос действительно от ABS, и может доверять ему.