Django側で実施すべき設定

SASEだけに認可を任せない

SASEやVerified Accessが判断するのは、主に「この利用者をこのアプリケーションへ接続させてよいか」です。

Djangoでは、その後の業務権限を判断します。

IdP
→ 誰であるか

SASE／ZTNA
→ この端末から接続してよいか

Django
→ どの画面と機能を使えるか

業務ロジック
→ どのデータを操作できるか

例えば、Django管理画面へ接続できる利用者であっても、すべてのモデルを変更できる権限を与える必要はありません。

Django側では、次の制御を維持します。

• グループ権限

• モデル権限

• オブジェクト単位の認可

• テナント単位の分離

• 部署単位のデータ制限

• 重要操作時の再認証

• 操作監査ログ

• セッション失効

リバースプロキシ経由の設定に注意する

SASE、CloudFront、ALBなどを経由すると、Djangoが直接TLSを終端しない構成があります。

代表的な設定例は次のとおりです。